CVE-2021-30179
Təsvir
2.6.9 və 2.7.9 versiyalarından əvvəlki Apache Dubbo, provayder interfeysləri tərəfindən təqdim edilən ixtiyari metodlara yönəlmiş ümumi çağırışları (generic calls) standart olaraq dəstəkləyir. Bu çağırışlar GenericFilter tərəfindən idarə olunur; həmin filtr çağırışın birinci arqumentlərində göstərilən xidməti və metodu tapır və yekun çağırışı etmək üçün Java Reflection API-dən istifadə edir. $invoke və ya $invokeAsync metodlarının imzası Ljava/lang/String;[Ljava/lang/String;[Ljava/lang/Object; şəklindədir, burada birinci arqument çağırılacaq metodun adı, ikincisi çağırılan metodun parametr tipləri massivi və üçüncüsü isə faktiki çağırış arqumentləri massividir. Bundan əlavə, çağıran tərəf çağırışın ümumi çağırış olduğunu və arqumentlərin necə dekodlaşdırılacağını göstərən bir RPC qoşmasını (attachment) təyin etməlidir. Mümkün dəyərlər bunlardır: - true - raw.return - nativejava - bean - protobuf-json Hücumçu bu RPC qoşmasını idarə edə bilər və üçüncü arqumentdə yerləşən bayt massivinin Java deserializasiyasını məcburi etmək üçün onu nativejava olaraq təyin edə bilər.
Necə düzəltmək olar
- apache dubbo2.6.9, 2.7.10 və ya daha yeni versiya
- org.apache.dubbo:dubbo2.7.10 və ya daha yeni versiya
- com.alibaba:dubbo2.6.9 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache dubbo | 2.5.0 ≤ v ≤ 2.5.10, 2.6.0 ≤ v < 2.6.9, 2.7.0 ≤ v < 2.7.10 | 2.6.9, 2.7.10 |
| org.apache.dubbo:dubboMaven | 2.5.0 ≤ v < 2.7.10 | 2.7.10 |
| com.alibaba:dubboMaven | 2.5.0 ≤ v < 2.6.9 | 2.6.9 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.