CVE-2021-32824
Açıklama
Apache Dubbo, Java tabanlı ve açık kaynaklı bir RPC çerçevesidir. 2.6.10 ve 2.7.10 öncesindeki sürümler, Telnet handler içerisindeki rastgele bean manipülasyonu aracılığıyla kimlik doğrulama öncesi uzaktan kod çalıştırmaya karşı savunmasızdır. Dubbo ana servis portu; servis tarafından sunulan sağlayıcılar ve yöntemler hakkında bilgi toplamak için bazı temel yöntemler sunan ve hatta servisin kapatılmasına izin verebilen bir Telnet Handler'a erişmek için kullanılabilir. Bu uç nokta korumasızdır. Ek olarak, `invoke` handler kullanılarak bir sağlayıcı yöntemi çağrılabilir. Bu handler, çağrı argümanlarını işlemek için FastJson'un güvenli bir sürümünü kullanır. Ancak, sonuçta oluşan liste daha sonra rastgele sınıfları örneklendirmek ve setter metodlarını çağırmak için kullanılabilecek olan `PojoUtils.realize` ile işlenir. FastJson varsayılan bir engelleme listesiyle uygun şekilde korunmuş olsa da `PojoUtils.realize` korunmamıştır ve bir saldırgan bunu uzaktan kod çalıştırmak için kullanabilir. 2.6.10 ve 2.7.10 sürümleri bu sorun için düzeltmeler içermektedir.
Nasıl düzeltilir
- apache dubbo2.6.10, 2.7.10 ya da sonraki bir sürüm
- org.apache.dubbo:dubbo-parent2.6.10, 2.7.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache dubbo | v < 2.6.10, 2.7.0 ≤ v < 2.7.10 | 2.6.10, 2.7.10 |
| org.apache.dubbo:dubbo-parentMaven | v < 2.6.10, 2.7.0 ≤ v < 2.7.10 | 2.6.10, 2.7.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.