CVE-2021-32824

Apache Dubbo Java əsaslı, açıq mənbəli RPC freymvorkudur. 2.6.10 və 2.7.10 versiyalarından əvvəlki versiyalar, Telnet handler-də ixtiyari bean manipulyasiyası vasitəsilə autentifikasiyadan öncə uzaqdan kodun icrasına qarşı həssasdır. Dubbo əsas xidmət portundan istifadə edərək, provayderlər və xidmət tərəfindən təqdim edilən metodlar haqqında məlumat toplamaq üçün bəzi baza metodları təklif edən və hətta xidmətin söndürülməsinə imkan verən Telnet Handler-ə daxil olmaq mümkündür. Bu son nöqtə (endpoint) qorunmamışdır. Əlavə olaraq, `invoke` handler-dən istifadə edərək provayder metodu çağırıla bilər. Bu handler, çağırış arqumentlərini emal etmək üçün FastJson-un təhlükəsiz versiyasından istifadə edir. Lakin, nəticədə alınan siyahı daha sonra `PojoUtils.realize` ilə emal edilir ki, bu da ixtiyari sinifləri instansiya etmək və onların setter metodlarını çağırmaq üçün istifadə edilə bilər. FastJson standart blok siyahısı ilə düzgün şəkildə qorunsa da, `PojoUtils.realize` qorunmayıb və hücumçu bundan uzaqdan kodun icrasını həyata keçirmək üçün istifadə edə bilər. 2.6.10 və 2.7.10 versiyaları bu problem üçün düzəlişlər ehtiva edir.