CVE-2021-25641
Açıklama
Her Apache Dubbo sunucusu, istemcilere hangi serileştirme protokolü ile çalıştığını bildirmek için bir serileştirme kimliği belirler. Ancak 2.7.8 veya 2.6.9 öncesindeki Dubbo sürümleri için bir saldırgan, bayt ön söz bayraklarını manipüle ederek (yani sunucunun talimatlarına uymayarak) Sağlayıcının (Provider) hangi serileştirme kimliğini kullanacağını seçebilir. Bu durum, eğer Kryo ve FST gibi zayıf bir seri durumdan çıkarma aracı (deserializer) bir şekilde kod kapsamında mevcutsa (örneğin Kryo bir bağımlılığın parçasıysa), kimliği doğrulanmamış uzaktaki bir saldırganın Sağlayıcıya zayıf seri durumdan çıkarma aracını kullanmasını söyleyebileceği ve ardından bunu istismar edebileceği anlamına gelir.
Nasıl düzeltilir
- apache dubbo2.6.9, 2.7.8 ya da sonraki bir sürüm
- org.apache.dubbo:dubbo2.7.8 ya da sonraki bir sürüm
- com.alibaba:dubbo2.6.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache dubbo | 2.5.0 ≤ v < 2.6.9, 2.7.0 ≤ v < 2.7.8 | 2.6.9, 2.7.8 |
| org.apache.dubbo:dubboMaven | 2.5.0 ≤ v < 2.7.8 | 2.7.8 |
| com.alibaba:dubboMaven | 2.5.0 ≤ v < 2.6.9 | 2.6.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.