CVE-2021-43297
Kritik
Təsvir
dubbo hessian-lite 3.2.11 və ondan əvvəlki versiyalarda zərərli kodun icrasına səbəb ola bilən deserializasiya boşluğu mövcud idi. Əksər Dubbo istifadəçiləri standart serializasiya/deserializasiya protokolu kimi Hessian2-dən istifadə edirlər; Hessian gözlənilməz istisnaları tutduqda bəzi məlumatları loqlayır ki, bu da uzaqdan əmrlərin icrasına səbəb ola bilər. Bu problem Apache Dubbo-nun 2.6.12-dən əvvəlki 2.6.x versiyalarına, 2.7.15-dən əvvəlki 2.7.x versiyalarına və 3.0.5-dən əvvəlki 3.0.x versiyalarına təsir göstərir.
CiddilikKritik
CVSS9.8
İstismar ehtimalı—
Məhsul
Apache Dubbo
Dərc10 yan 2022
İlk görülmə10 yan 2022
Zəiflik növüCWE-502Etibarsız məlumatın deserializasiyası
Necə düzəltmək olar
Yeniləyin
- apache dubbo2.6.12, 2.7.15, 3.0.5 və ya daha yeni versiya
- org.apache.dubbo:dubbo2.6.12, 2.7.15, 3.0.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache dubbo | 2.6.0 ≤ v < 2.6.12, 2.7.0 ≤ v < 2.7.15, 3.0.0 ≤ v < 3.0.5 | 2.6.12, 2.7.15, 3.0.5 |
| org.apache.dubbo:dubboMaven | 2.6.0 ≤ v < 2.6.12, 2.7.0 ≤ v < 2.7.15, 3.0.0 ≤ v < 3.0.5 | 2.6.12, 2.7.15, 3.0.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.