CVE-2021-36162
Açıklama
Apache Dubbo, konfigürasyon geçersiz kılma veya trafik yönlendirmeyi (Dubbo'da routing olarak adlandırılır) desteklemek için çeşitli kuralları destekler. Bu kurallar konfigürasyon merkezine (örneğin: Zookeeper, Nacos, ...) yüklenir ve doğru uç noktayı bulmak amacıyla müşteriler tarafından istek yapıldığında geri alınır. Bu YAML kurallarını ayrıştırırken, Dubbo müşterileri varsayılan olarak rastgele constructor çağrılarını etkinleştiren SnakeYAML kütüphanesini kullanarak kuralları yükler. Konfigürasyon merkezine erişimi olan bir saldırgan, kuralı zehirleyebilir ve böylece tüketiciler tarafından geri alındığında tümlerinde uzaktan kod çalıştırma (RCE) sağlayabilir. Bu durum Dubbo 2.7.13 ve 3.0.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- org.apache.dubbo:dubbo2.7.13, 3.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache dubbo | 2.7.0 ≤ v ≤ 2.7.12, 3.0.0 ≤ v ≤ 3.0.1 | — |
| org.apache.dubbo:dubboMaven | v < 2.7.13, 3.0.0 ≤ v < 3.0.2 | 2.7.13, 3.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.