【缝隙公告】Apache Dubbo远程代码执行缝隙（CVE-2021-43297）

颁布功夫 2022-01-12


0x00 缝隙概述

CVE     ID

CVE-2021-43297

时      间

2021-01-12

类      型

RCE

等      级

高危

远程利用

是

影响领域


攻击复杂度


用户交互


PoC/EXP


在野利用


 

0x01 缝隙详情

 

image.png

Apache Dubbo 是一款高机能、、、轻量级的开源服务框架。。

2022年1月9日，，，Apache Dubbo颁布安全布告，，，Dubbo hessian-lite 3.2.11 及之前版本中存在反序列化缝隙（CVE-2021-43297），，，该缝隙可能导致远程执行肆意代码。。

大无数Dubbo用户使用Hessian2作为默认的序列化/反序列化和谈，，，在Hessian捉拿到异常时，，，Hessian会注销用户的一些信息，，，这可能导致远程号令执行。。

 

影响领域

Apache Dubbo 2.6.x < 2.6.12

Apache Dubbo 2.7.x < 2.7.15

Apache Dubbo 3.0.x < 3.0.5

 

0x02 安全建议

目前此缝隙已经修复，，，建议受影响用户实时升级更新到以下版本：：

Dubbo 2.6.x：：升级到2.6.12

Dubbo 2.7.x：：升级到2.7.15

Dubbo 3.0.x：：升级到3.0.5

下载链接：：

https://dubbo.apache.org/en/blog/2020/05/18/past-releases/

 

0x03 参考链接

https://www.mail-archive.com/dev@dubbo.apache.org/msg07443.html

https://nvd.nist.gov/vuln/detail/CVE-2021-43297

https://github.com/apache/dubbo/releases

 

0x04 版本信息

版本

日期

批改内容

V1.0

2022-01-12

初次颁布

 

0x05 附录

OG东方厅简介

OG东方厅公司成立于1996年，，，并于2010年6月23日在深交所中小板正式挂牌上市，，，是国内极具实力的、、、占有齐全自主知识产权的网络安全产品、、、可信安全治理平台、、、安全服务与解决规划的综合提供商。。

公司总部位于北京市中关村软件园，，，在全国各省、、、市、、、自治区设有分支机构，，，占有覆盖全国的渠道系统和技术支持中心，，，并在北京、、、上�！！�、、、成都、、、昭通、、、长沙、、、荆门等多地设有研发中心。。

多年来，，，OG东方厅致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，，，援手客户全面提升其IT基础设施的安全性和出产效力，，，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。。

 

关于OG东方厅

OG东方厅安全应急响应中心重要针对重要安全缝隙的预警、、、跟踪和分享全球最新的威胁谍报和安全汇报。。

关注以下公家号，，，获取全球最新安全资讯：：

image.png