Apache Dubbo多个高危漏洞安全风险通告
发布日期：2021-6-24
漏洞描述
Apache Dubbo是一款应用广泛的Java RPC分布式服务框架。2021年6月24日，监测到国外安全研究人员披露Apache Dubbo多个高危漏洞详情：
CVE-2021-25641 中，攻击者可利用其他协议绕过Hessian2黑名单造成反序列化；
CVE-2021-30179 中，Apache Dubbo Generic filter存在过滤不严，攻击者可构造恶意请求调用恶意方法从而造成远程代码执行；
CVE-2021-32824 中，Apache Dubbo Telnet handler在处理相关请求时，允许攻击者调用恶意方法从而造成远程代码执行；
CVE-2021-30180中，Apache Dubbo多处使用了yaml.load，攻击者在控制如ZooKeeper注册中心后可上传恶意配置文件从而造成了Yaml反序列化漏洞；
CVE-2021-30181中，攻击者在控制如ZooKeeper注册中心后可构造恶意请求注入Nashorn脚本，造成远程代码执行。
在此，提醒 Apache Dubbo 用户尽快采取安全措施阻止漏洞攻击。
漏洞编号
CVE-2021-25641 Apache Dubbo Hessian2 协议反序列化漏洞
CVE-2021-30179 Apache Dubbo Generic filter 远程代码执行漏洞
CVE-2021-32824 Apache Dubbo Telnet handler 远程代码执行漏洞
CVE-2021-30180 Apache Dubbo YAML 反序列化漏洞
CVE-2021-30181 Apache Dubbo Nashorn 脚本远程代码执行漏洞
漏洞危害
- CVE-2021-25641 中，攻击者可利用其他协议绕过Hessian2黑名单造成反序列化；
- CVE-2021-30179 中，Apache Dubbo Generic filter存在过滤不严，攻击者可构造恶意请求调用恶意方法从而造成远程代码执行；
- CVE-2021-32824 中，Apache Dubbo Telnet handler在处理相关请求时，允许攻击者调用恶意方法从而造成远程代码执行；
- CVE-2021-30180中，Apache Dubbo多处使用了load，攻击者在控制如ZooKeeper注册中心后可上传恶意配置文件从而造成了Yaml反序列化漏洞；
- CVE-2021-30181中，攻击者在控制如ZooKeeper注册中心后可构造恶意请求注入Nashorn脚本，造成远程代码执行。
漏洞等级
高危
受影响版本
Apache Dubbo < 2.7.10
Apache Dubbo < 2.6.10
安全版本
Apache Dubbo 2.7.10
Apache Dubbo 2.6.10
修复方案
1、升级 Apache Dubbo 至最新版本。
2、设置Apache Dubbo 相关端口仅对可信地址开放。
参考链接
1、https://securitylab.github.com/advisories/GHSL-2021-034_043-apache-dubbo/