Apache Dubbo存在反序列化漏洞

2020-12-14 IT有意思

背景：

近日監測到Apache Dubbo存在反序列化漏洞（CVE-2019-17564），此漏洞可導致遠程代碼執行。Apache Dubbo是一款應用廣泛的高性能輕量級的Java RPC分布式服務框架。鑑於漏洞危害較大，建議儘快更新軟體。

情報通告：

威脅程度：

個人風險評級：低危

企業風險評級：中危

情報風險預警：對公司影響等級為中，對使用Apache Dubbo相應版本的企業均有被攻擊的風險。

情報描述：

Apache Dubbo是一個分布式框架，致力於提供高性能透明化的RPC遠程服務調用方案，以及SOA服務治理方案。Apache Dubbo在實際應用場景中主要負責解決分布式的相關需求。

Apache Dubbo支持多種協議，官方推薦使用 Dubbo 協議，CVE-2019-17564是屬於Apache Dubbo HTTP協議中的一個反序列化漏洞，該漏洞的主要原因在於當Apache Dubbo啟用HTTP協議之後，Apache Dubbo在接受來自消費者的遠程調用請求的時候存在一個不安全的反序列化行為，最終導致了遠程任意代碼執行。

漏洞分析

漏洞的產生原因如下：

com.alibaba.dubbo.remoting.http.servlet.DispatcherServlet.service方法主要負責將來自消費者的遠程調用請求交給對應的handle完成處理。這裡是交給spring的httpinvoker完成後續的處理。

往下跟進會看到該請求會交給handleRequest方法處理。在handleRequest方法內部主要是完成對對象的調用以及調用結果的返回。

通過進一步的跟進可以發現在

org.springframework.remoting.rmi.RemoteInvocationSerializingExporter.doReadRemoteInvocation方法中進行了不安全的反序列化。

由於這個不安全的反序列化行為，最終導致了遠程任意代碼執行。

Apache Dubbo官方針對該漏洞修復的主要方式是禁止消費者在POST請求中攜帶Java對象。

影響版本：

2.7.0 <= Apache Dubbo <= 2.7.4

2.6.0 <= Apache Dubbo <= 2.6.7

Apache Dubbo = 2.5.x

解決方案：

目前Apache Dubbo官方已針對這些漏洞發布安全更新，請儘快安裝和應用更新：

https://github.com/apache/dubbo/releases/tag/dubbo-2.7.5

相關焦點

  • Apache Dubbo反序列化漏洞(CVE-2019-17564)
    上面這部分是官方描述，也就是說當HTTP remoting 開啟的時候，存在反序列化漏洞。有一點在描述中值得注意的，也就是說它影響不只是dubbo，還有spring-web（5.1.9.RELEASE）之前。
  • Apache Dubbo反序列化漏洞及補丁繞過(哨兵雲支持檢測)
    近日，默安科技應急響應中心發現Apache Dubbo發布安全公告，披露Provider默認反序列化導致的遠程代碼執行漏洞（CVE-2020-1948），攻擊者可以發送帶有無法識別的服務名或方法名及某些惡意參數負載的RPC請求，當惡意參數被反序列化時將導致代碼執行。
  • 網站安全公司 修復PHP反序列化漏洞
    先來說說序列化是什麼吧，序列化是將對象的狀態信息轉換成可以存儲或傳輸的形式的過程。在序列化期間，將對象的當前狀態寫入臨時或永久存儲區。稍後，您可以通過從存儲區讀取或恢復對象的狀態重新創建對象。簡而言之，序列化是一種將一對象轉換為一個字符串的方法，該字符串可以以特定格式在進程之間跨平臺傳輸。php的反序列化漏洞，php的盲點，也是一個常見的漏洞，這種漏洞充滿了一些場景，雖然有些很難調用，但是成功的後果很危險。漏洞形成的根本原因是沒有序列識別程序，從而導致序列字符串的檢測。反序列化漏洞不僅僅存在於php中，而且還存在於java、python中。
  • ApacheShiro身份驗證繞過高危漏洞的預警通報
    近日，Apache官方公布了Apache Shiro身份驗證繞過高危漏洞和Apache Dubbo反序列化高危漏洞。遠程攻擊者通過Apache Shiro身份驗證繞過高危漏洞可繞過身份驗證，通過Apache Dubbo反序列化高危漏洞可造成惡意代碼執行。
  • php反序列化漏洞
    前言本文總結php的反序列化，有php反序列字符串逃逸，php反序列化pop鏈構造，php反序列化原生類的利用，phar反序列化，session反序列化，反序列化小技巧，並附帶ctf小題來說明，還有php反序列化的預防方法(個人想法)，建議按需查看，如有錯誤還望斧正。
  • Apache Dubbo出現嚴重漏洞,華為雲WAF可提供防護
    2020年2月13日,華為雲安全團隊監測到應用廣泛的Apache Dubbo出現一個較為嚴重的漏洞:反序列化漏洞(漏洞編號:CVE-2019-17564)。攻擊者利用該漏洞,可在目標網站上遠程執行惡意代碼,最終導致網站被控制、數據洩露等。
  • JAVA反序列化 - commons-collections - 1
    但實際上真的有存在這種情況：這就是commons-collections-3.1 jar包，cve編號：cve-2015-4852在開始之前我們需要理一下反序列化漏洞的攻擊流程：客戶端構造payload(有效載荷)，並進行一層層的封裝，完成最後的exp（exploit-利用代碼）
  • JAVA反序列化—FastJson抗爭的一生
    }", VO.class); //JSON文本解析成VO.class類我們通過demo來使用一下這個組件以下使用測試均是基於1.2.24版本的fastjson jar包靶機搭建需要存在漏洞的jar包，但是在github上通常會下架存在漏洞的jar包。
  • Yii2 反序列化漏洞復現分析
    1、漏洞描述Yii是一套基於組件、用於開發大型Web應用的高性能PHP框架。Yii2 2.0.38 之前的版本存在反序列化漏洞，程序在調用unserialize() 時，攻擊者可通過構造特定的惡意請求執行任意命令。
  • CVE-2020-9484 tomcat session反序列化漏洞分析
    漏洞條件比較苛刻：tomcat必須啟用session持久化功能FileStoretomcat/lib或者WEB-INF/lib目錄下的依賴存在可用的gadget在伺服器上存在已知路徑文件內容可控0x02
  • 「漏洞復現」Weblogic反序列化漏洞(CVE-2018-2628)
    漏洞描述Weblogic Server中的RMI 通信使用T3協議在Weblogic Server和其它Java程序（客戶端或者其它Weblogic Server實例）之間傳輸數據, 伺服器實例會跟蹤連接到應用程式的每個
  • Jackson曝多個反序列化安全漏洞,聚銘網絡iNFA產品支持檢測
    1、漏洞描述FasterXML Jackson發布了新的高危漏洞（漏洞編號：CVE-2020-24616），其官方團隊發布了 FasterXML jackson-databind 2.9.10.6版本，其中修復了幾個反序列化漏洞。
  • Dubbo曝反序列化漏洞,網易輕舟提供全方位解決方案
    2020年2月13日，Apache Dubbo官方發布了一條反序列化漏洞（漏洞編號：CVE-2019-17564）的通告，漏洞等級中危。輕舟微服務雖然支持Apache Dubbo，但由於在架構設計上的優化，可保證用戶不會受此次漏洞影響。
  • 雲安全日報200819:Apache發現重要漏洞,可竊取信息,控制系統,需要...
    Apache Solr 8.6.0版本中存在安全漏洞。攻擊者可利用該漏洞對Solr用戶可訪問的任意地址進行讀寫操作。漏洞詳情來源：https://lists.apache.org/thread.html/rf54e7912b7d2b72c63ec54a7afa4adcbf16268dcc63253767dd67d60%40%3Cgeneral.lucene.apache.org%3E
  • 分享一個超實用的中間件ApacheTomcat漏洞升級方案
    分享一個超實用的中間件ApacheTomcat漏洞升級方案 最近公司漏洞掃描發現了一大批的高危漏洞，需儘快修復，今天來說一說中間件Tomcat漏洞修複方法，Tomcat是一款開源的軟體，官方沒有補丁這麼一說，只能小版本進行升級，具體操作清下看!
  • Weblogic IIOP反序列化分析(CVE-2020-2551)
    No.2 漏洞概述2020年1月15日, Oracle官方發布了CVE-2020-2551的漏洞通告，漏洞等級為高危，CVVS評分為9.8分，漏洞利用難度低。之後繼續往下走，可以看到反序列化的觸發的惡意類 EvilMessage 被封裝在了Stub data中，但是他並不是一個標準的Java反序列化過程。
  • Spring Cloud 和 Dubbo,到底用哪個好?
    、「註冊+springmvc=springcloud」，而dubbo各種複雜的Url，protocol，register，invocation，dubbofilter，dubboSPI，dubbo序列化..........炫技的成分更多一些從性能：dubbo的網絡消耗小於springcloud，但是在國內95%的公司內，網絡消耗不是什麼太大問題
  • 雲安全日報200810:Apache發現重要漏洞,需要儘快升級
    不過Apache於8月7日發布了安全公告,Apache存在多個漏洞.以下是漏洞詳情:漏洞詳情來源：https://httpd.apache.org/security/vulnerabilities_24.html1.mod_proxy_uwsgi緩衝區溢出 （CVE-2020-11984）mod_proxy是一個多協議代理
  • Apache Shiro 1.6.0 發布!修復繞過授權高危漏洞
    修復繞過授權高危漏洞Apache Shiro 是一個強大且易用的 Java 安全框架,執行身份驗證、授權、密碼和會話管理。使用 Shiro 的易於理解的 API,您可以快速、輕鬆地獲得任何應用程式,從最小的行動應用程式到最大的網絡和企業應用程式。更新日誌 過濾器鏈解析不正確。