CVE-2021-36162
Təsvir
Apache Dubbo konfiqurasiyanın əvəzlənməsi və ya trafik marşrutlaşdırılmasına (Dubbo-da routing adlanır) dəstək vermək üçün müxtəlif qaydaları dəstəkləyir. Bu qaydalar konfiqurasiya mərkəzinə (məsələn: Zookeeper, Nacos, ...) yüklənir və düzgün son nöqtəni (endpoint) tapmaq üçün sorğu zamanı istifadəçilər tərəfindən götürülür. Bu YAML qaydalarını analiz edərkən, Dubbo istifadəçiləri qaydaları yükləmək üçün SnakeYAML kitabxanasından istifadə edirlər ki, bu da standart olaraq ixtiyari konstruktorların çağırılmasını aktivləşdirir. Konfiqurasiya mərkəzinə giriş imkanı olan hücumçu qaydanı zəhərləyə bilər və beləliklə, həmin qayda istehlakçılar tərəfindən götürüldükdə onların hamısında uzaqdan kodun icrasına (RCE) nail ola bilər. Bu problem Dubbo 2.7.13 və 3.0.2 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- org.apache.dubbo:dubbo2.7.13, 3.0.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache dubbo | 2.7.0 ≤ v ≤ 2.7.12, 3.0.0 ≤ v ≤ 3.0.1 | — |
| org.apache.dubbo:dubboMaven | v < 2.7.13, 3.0.0 ≤ v < 3.0.2 | 2.7.13, 3.0.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.