正文

【漏洞通告】Apache Dubbo多个高危漏洞（CVE-2021-30179等）

admin
admin V管理员 /0 评论 /21 阅读
0411
此篇文章发布距今已超过1114天，您需要注意文章的内容或图片是否可用！

2021年6月24日，阿里云应急响应中心监测到国外安全研究人员披露Apache Dubbo多个高危漏洞详情。


漏洞描述

Apache Dubbo是一款应用广泛的Java RPC分布式服务框架。2021年6月24日，国外安全研究人员披露Apache Dubbo多个高危漏洞详情：

CVE-2021-25641 中，攻击者可利用其他协议绕过Hessian2黑名单造成反序列化。

CVE-2021-30179 中，Apache Dubbo Generic filter存在过滤不严，攻击者可构造恶意请求调用恶意方法从而造成远程代码执行。

CVE-2021-32824 中，Apache Dubbo Telnet handler在处理相关请求时，允许攻击者调用恶意方法从而造成远程代码执行。

CVE-2021-30180中，Apache Dubbo多处使用了yaml.load，攻击者在控制如ZooKeeper注册中心后可上传恶意配置文件从而造成了Yaml反序列化漏洞。

CVE-2021-30181中，攻击者在控制如ZooKeeper注册中心后可构造恶意请求注入Nashorn脚本，造成远程代码执行。

阿里云应急响应中心提醒 Apache Dubbo 用户尽快采取安全措施阻止漏洞攻击。


漏洞细节：公开

漏洞POC：公开

漏洞EXP：公开

在野利用：未知


漏洞评级

CVE-2021-25641 Apache Dubbo Hessian2 协议反序列化漏洞 高危

CVE-2021-30179 Apache Dubbo Generic filter 远程代码执行漏洞 高危

CVE-2021-32824 Apache Dubbo Telnet handler 远程代码执行漏洞

CVE-2021-30180 Apache Dubbo YAML 反序列化漏洞 高危

CVE-2021-30181 Apache Dubbo Nashorn 脚本远程代码执行漏洞 高危


影响版本

Apache Dubbo >= 2.7.0 且 < 2.7.10

Apache Dubbo >= 2.5.0 且 < 2.6.10

Apache Dubbo 2.5.x 所有版本 (官方不再提供支持)。


安全版本

Apache Dubbo 2.7.10

Apache Dubbo 2.6.10


安全建议

1、升级 Apache Dubbo 至最新版本

2、利用阿里云安全组功能设置 Apache Dubbo 相关端口仅对可信地址开放。


相关链接

https://securitylab.github.com/advisories/GHSL-2021-034_043-apache-dubbo/


云盾WAF已可防护该类漏洞，并提供7天免费漏洞应急服务，为您争取漏洞修复时间，应急开通地址：https://c.tb.cn/I3.XzCtR

阿里云云安全中心应急漏洞模块已支持对该漏洞一键检测

阿里云云防火墙已可防御此漏洞攻击



我们会关注后续进展，请随时关注官方公告。

如有任何问题，可随时发送邮件至[email protected]


阿里云应急响应中心

2021.6.24