精彩推荐php
一百期Java面试题汇总git
SpringBoot内容聚合github
Mybatis内容聚合apache
如下内容转载自安全客,原文连接:https://www.anquanke.com/post/id/209102c#
2020年06月23日, 360CERT监测发现 Apache Dubbo 官方 发布了 Apache Dubbo 远程代码执行 的风险通告,该漏洞编号为 CVE-2020-1948,漏洞等级:高危。安全
Apache Dubbo 是一款高性能、轻量级的开源Java RPC框架,它提供了三大核心能力:面向接口的远程方法调用,智能容错和负载均衡,以及服务自动注册和发现。网络
Apache Dubbo Provider 存在 反序列化漏洞,攻击者能够经过RPC请求发送没法识别的服务名称或方法名称以及一些恶意参数有效载荷,当恶意参数被反序列化时,能够形成远程代码执行。负载均衡
该漏洞的相关技术细节已公开。框架
对此,360CERT建议广大用户及时安装最新补丁,作好资产自查以及预防工做,以避免遭受黑客攻击。
360CERT对该漏洞的评定结果以下:
威胁等级:高危
影响面:普遍
0x03 漏洞详情
Apache Dubbo Provider 存在 反序列化漏洞,攻击者能够经过RPC请求发送没法识别的服务名称或方法名称以及一些恶意参数有效载荷,当恶意参数被反序列化时,能够形成远程代码执行。
Dubbo 2.7.0 – 2.7.6
Dubbo 2.6.0 – 2.6.7
Dubbo 2.5.x (官方再也不维护)
建议广大用户及时升级到2.7.7或更高版本,下载地址为:https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7。
360安全大脑-Quake网络空间测绘系统经过对全网资产测绘,发现Dubbo在国内均有普遍使用,具体分布以下图所示。
360安全大脑的QUAKE资产测绘平台经过资产测绘技术手段,对该类漏洞进行监测,请用户联系相关产品区域负责人获取对应产品。
2020-06-22 Apache Dubbo 官方发布通告
2020-06-23 360CERT发布预警
END
我知道你 “在看”