最新！Dubbo 远程代码执行漏洞通告，速度升级

原文来自：安全客

链接：https://www.anquanke.com/post/id/209102

0x01 漏洞背景

2020年06月23日， 360CERT监测发现 Apache Dubbo 官方 发布了 Apache Dubbo 远程代码执行的风险通告，该漏洞编号为 CVE-2020-1948，漏洞等级：高危。

Apache Dubbo 是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。

Apache Dubbo Provider 存在反序列化漏洞，攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷，当恶意参数被反序列化时，可以造成远程代码执行。

该漏洞的相关技术细节已公开。

对此，360CERT建议广大用户及时安装最新补丁，做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	高危
影响面	广泛

0x03 漏洞详情

Apache Dubbo Provider 存在反序列化漏洞，攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷，当恶意参数被反序列化时，可以造成远程代码执行。 

0x04 影响版本

• Dubbo 2.7.0 – 2.7.6

• Dubbo 2.6.0 – 2.6.7

• Dubbo 2.5.x （官方不再维护）

0x05 修复建议

通用修补建议：

建议广大用户及时升级到2.7.7或更高版本，下载地址为：

https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7 

0x06 相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现Dubbo在国内均有广泛使用，具体分布如下图所示。

0x07 时间线

2020-06-22 Apache Dubbo 官方发布通告

2020-06-23 360CERT发布预警

声明：本文经安全客授权发布，转载请联系安全客平台

最近热文：

1、Spring Boot 干掉了 Maven 拥抱 Gradle！

2、一周面试了 30 人，面到我心态爆炸…

3、阿里为什么不用 Zookeeper 做服务发现？

4、写了个全局变量的bug，被同事们打脸！

5、Java 14 祭出神器，Lombok 被干掉了？

6、为什么 Redis 单线程能达到百万+QPS？

7、Spring Boot 2.3 优雅关闭新姿势，真香！

8、Redis 到底是单线程还是多线程？

9、我天！xx.equals(null) 是什么骚操作？？

10、Spring Boot 2.3.1 发布， 10 个新特性！

扫码关注Java技术栈公众号阅读更多干货。

点击「阅读原文」获取面试题大全～