【补丁绕过】CVE-2020-1948 : Apache Dubbo 远程代码执行漏洞通告更新

360-CERT [三六零CERT](javascript:void(0)???? 今天

【补丁绕过】CVE-2020-1948 : Apache Dubbo 远程代码执行漏洞通告更新_漏洞修复

0x00 漏洞背景

2020年06月23日， 360CERT监测发现 Apache Dubbo 官方 发布了 Apache Dubbo 远程代码执行 的风险通告，该漏洞编号为 CVE-2020-1948，漏洞等级：高危。

Apache Dubbo 是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。

Apache Dubbo Provider 存在 反序列化漏洞，攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷，当恶意参数被反序列化时，可以造成远程代码执行。

该漏洞的相关技术细节已公开。

2020年06月29日， 360CERT监测发现 Apache Dubbo GitHub 发布了 2.7.7版本的绕过 被修复的Pull Request，经测试后发现能够有效绕过。

对此，360CERT建议广大用户及时安装最新补丁，做好资产自查以及预防工作，以免遭受黑客攻击。

0x01 风险等级

360CERT对该漏洞的评定结果如下

评定方式 等级
威胁等级 高危
影响面 广泛

0x02 漏洞详情

Apache Dubbo Provider 存在 反序列化漏洞，攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷，当恶意参数被反序列化时，可以造成远程代码执行。

2.7.7版本的绕过 的漏洞复现情况如下。

【补丁绕过】CVE-2020-1948 : Apache Dubbo 远程代码执行漏洞通告更新_漏洞修复_02

0x03 影响版本

  • Dubbo 2.7.0 - 2.7.6
  • Dubbo 2.6.0 - 2.6.7
  • Dubbo 2.5.x （官方不再维护）

0x04 修复建议

通用修补建议：

建议广大用户及时升级到2.7.7或更高版本，下载地址为：
https://github.com/apache/dubbo/releases/tag/

0x05 相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现Dubbo在国内广泛使用，具体分布如下图所示。

【补丁绕过】CVE-2020-1948 : Apache Dubbo 远程代码执行漏洞通告更新_漏洞发现_03

0x06 产品侧解决方案

360城市级网络安全监测服务

360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段，对该类漏洞进行监测，请用户联系相关产品区域负责人获取对应产品。

0x07 时间线

2020-06-22 Apache Dubbo 官方发布通告

2020-06-29 360CERT更新预警

0x08 参考链接

1.[CVE-2020-1948] Apache Dubbo Provider default deserialization cause RCE
https://www.mail-archive.com/dev@dubbo.apache.org/msg06544.html
**2.**DecodeableRpcInvocation增加入参类型校验 #6374
https://github.com/apache/dubbo/pull/6374

转载自https://mp.weixin.qq.com/s/N3JorVq5tdcKMXsARHeR_Q