CVE-2021-30179
Açıklama
2.6.9 ve 2.7.9 sürümlerinden önceki Apache Dubbo, varsayılan olarak sağlayıcı arayüzleri tarafından sunulan rastgele yöntemlere yönelik genel çağrıları desteklemektedir. Bu çağırmalar, çağrının ilk bağımsız değişkenlerinde belirtilen servisi ve yöntemi bulan ve nihai çağrıyı yapmak için Java Reflection API'sini kullanan GenericFilter tarafından işlenir. $invoke veya $invokeAsync yöntemlerinin imzası Ljava/lang/String;[Ljava/lang/String;[Ljava/lang/Object; şeklindedir; burada ilk bağımsız değişken çağrılacak yöntemin adı, ikincisi çağrılan yöntemin parametre türlerini içeren bir dizi ve üçüncüsü gerçek çağrı bağımsız değişkenlerini içeren bir dizidir. Ek olarak, çağrıyı yapan kişinin, çağrının genel bir çağrı olduğunu ve bağımsız değişkenlerin nasıl çözümleneceğini belirten bir RPC eki ayarlaması gerekir. Olası değerler şunlardır: - true - raw.return - nativejava - bean - protobuf-json Bir saldırgan bu RPC ekini kontrol edebilir ve üçüncü bağımsız değişkende bulunan bayt dizisinin Java serisizleştirmesini zorlamak için bunu nativejava olarak ayarlayabilir.
Nasıl düzeltilir
- apache dubbo2.6.9, 2.7.10 ya da sonraki bir sürüm
- org.apache.dubbo:dubbo2.7.10 ya da sonraki bir sürüm
- com.alibaba:dubbo2.6.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache dubbo | 2.5.0 ≤ v ≤ 2.5.10, 2.6.0 ≤ v < 2.6.9, 2.7.0 ≤ v < 2.7.10 | 2.6.9, 2.7.10 |
| org.apache.dubbo:dubboMaven | 2.5.0 ≤ v < 2.7.10 | 2.7.10 |
| com.alibaba:dubboMaven | 2.5.0 ≤ v < 2.6.9 | 2.6.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.