Apacche Dubbo 反序列化漏洞

Apacche Dubbo 反序列化漏洞

早在2019年开发者社区就有谈到这个 http 协议漏洞问题，近期360灵腾安全实验室判断漏洞等级为高，利用难度低，威胁程度高。 建议升级 dubbo 版本，避免遭受黑客攻击。

漏洞描述

Unsafe deserialization occurs within a Dubbo application which has HTTP remoting enabled. An attacker may submit a POST request with a Java object in it to completely compromise a Provider instance of Apache Dubbo, if this instance enables HTTP.

简单的说，就是HTTP remoting 开启的时候，存在反序列化漏洞。
Apache Dubbo在接受来自消费者的远程调用请求的时候存在一个不安全的反序列化行为，最终导致了远程任意代码执行。

影响版本：

Dubbo 2.7.0 to 2.7.6
Dubbo 2.6.0 to 2.6.7
Dubbo all 2.5.x versions

漏洞复现

1. 创建一个 Dubbo 服务提供者代码。
   暴出的漏洞是 http 协议的，故使用 http 的 demo 来重现

<dubbo:protocol name="http" port="8080" server="tomcat" />

注： 可自己简单写一个，也可官网下载 demo