资讯首页 新闻资讯 云计算测评 云服务商动态 技术频道
上云无忧 > 云计算资讯  > 技术频道 > CVE-2020-1948:Apache Dubbo 反序列化漏洞补丁存在缺陷

CVE-2020-1948:Apache Dubbo 反序列化漏洞补丁存在缺陷

发布时间: 2020-06-30 09:30:24|浏览量:335| 评论: 0


2020年6月29日,阿里云应急响应中心监测到 CVE-2020-1948 Apache Dubbo反序列化漏洞补丁存在缺陷,可以绕过原有补丁并执行任意指令。


针对这一情况,阿里云默认防御已启动紧急响应,为阿里云上受影响客户免费提供一个月的虚拟补丁帮助缓解该漏洞的影响,建议利用这个期间尽快完成漏洞修复,避免该漏洞被利用造成数据、资产的损失。

时间线
2020.06.23   监测到 CVE-2020-1948 Apache Dubbo反序列化漏洞
2020.06.29   监测到 CVE-2020-1948 Apache Dubbo反序列化漏洞 补丁绕过

漏洞描述
Apache Dubbo是一种基于Java的高性能RPC框架。Apache Dubbo官方披露在Dubbo Provider中存在一个反序列化远程代码执行漏洞(CVE-2020-1948),攻击者可以构造并发送带有恶意参数负载的RPC请求,当恶意参数被反序列化时将导致远程代码执行。

目前,2.7.7版本的官方补丁中存在缺陷,攻击者可以绕过并执行任意指令,危害极大。

漏洞影响范围
Apache Dubbo 2.7.0~2.7.7
Apache Dubbo 2.6.0~2.6.7
Apache Dubbo 2.5.x系列所有版本(官方不再提供支持)

安全建议
目前官方还未发布针对此漏洞绕过手法的补丁,在阿里云提供一个月的默认防御期限内,建议客户参考以下方法进行缓解,并关注官方补丁动态,及时进行更新:

1、升级至2.7.7版本,并根据https://github.com/apache/dubbo/pull/6374/commits/8fcdca112744d2cb98b349225a4aab365af563de的方法进行参数校验

2、禁止将Dubbo服务端端口开放给公网,或仅仅只对能够连接至Dubbo服务端的可信消费端IP开放

3、Dubbo协议默认采用Hessian作为序列化反序列化方式,该反序列化方式存在反序列化漏洞。在不影响业务的情况下,建议更换协议以及反序列化方式。具体更换方法可参考:http://dubbo.apache.org/zh-cn/docs/user/references/xml/dubbo-protocol.html

安全产品建议
建议使用阿里云安全的下一代云防火墙产品,即使在官方没有发布针对此漏洞绕过手法的补丁情况下,其阻断恶意外联、配置智能策略的功能,也能够从根本上阻止防御入侵。


如何降低企业上云成本


阿里云以其先进的技术、良好的口碑,已经成为国内企业上云的首选,但如何有效降低上云成本,成为很多企业所关注的


上云无忧是阿里云优质合作伙伴,为响应阿里云全民上云计划,鼓励企业上云,现推出企业上云优惠返利活动,以返现的方式降低企业上云费用,为您的企业减负。


详情请参阅:

获取阿里云合作伙伴项目编号,订单关联项目降低企业上云成本


更多【技术频道】相关文章

有话要说

全部评论

暂无评论
官方微信
联系客服
400-826-7010
7x24小时客服热线
分享
  • QQ好友
  • QQ空间
  • 微信
  • 微博
返回顶部