Cxc

**Name of the Vulnerable Software and Affected Versions** Apache Dubbo versions 2.7.21 and prior versions Apache Dubbo versions 3.0.13 and prior versions Apache Dubbo versions 3.1.5 and prior versions **Description** A deserialization vulnerability existed when dubbo generic invoke, which could lead to malicious code execution. The issue is related to the mechanism of deserialization in the Apache Dubbo RPC framework, allowing a remote attacker to execute arbitrary code. **Recommendations** For Apache Dubbo versions 2.7.21 and prior versions, update to a version later than 2.7.21. For Apache Dubbo versions 3.0.13 and prior versions, update to a version later than 3.0.13. For Apache Dubbo versions 3.1.5 and prior versions, update to a version later than 3.1.5. As a temporary workaround, consider disabling the dubbo generic invoke functionality until a patch is available. Restrict access to the vulnerable RPC endpoint to minimize the risk of exploitation.

**Nome do software vulnerável e versões afetadas** Versões 2.7.17 e anteriores do Apache Dubbo Versões 3.0.11 e anteriores do Apache Dubbo Versões 3.1.0 e anteriores do Apache Dubbo Versões 3.2.12 e anteriores do dubbo hessian-lite **Descrição** Existia uma vulnerabilidade de desserialização no dubbo hessian-lite, que poderia levar à execução de código malicioso. **Recomendações** Para as versões 2.7.17 e anteriores do Apache Dubbo, atualize para uma versão posterior à 2.7.17. Para as versões 3.0.11 e anteriores do Apache Dubbo, atualize para uma versão posterior à 3.0.11. Para as versões 3.1.0 e anteriores do Apache Dubbo, atualize para uma versão posterior à 3.1.0. Para as versões 3.2.12 e anteriores do dubbo hessian-lite, atualize para uma versão posterior à 3.2.12.

**Nome do software vulnerável e versões afetadas** Versões do Apache Dubbo anteriores à 2.6.12 Versões do Apache Dubbo anteriores à 2.7.15 Versões do Apache Dubbo anteriores à 3.0.5 Versões do dubbo hessian-lite 3.2.11 e anteriores **Descrição** Existia uma vulnerabilidade de desserialização no dubbo hessian-lite, que poderia levar à execução de código malicioso. A maioria dos usuários do Dubbo utiliza o Hessian2 como protocolo padrão de serialização/desserialização. Durante o Hessian, a captura de exceções inesperadas registra algumas informações para os usuários, o que pode causar a execução remota de comandos. **Recomendações** Para versões do Apache Dubbo anteriores à 2.6.12, atualize para a versão 2.6.12 ou posterior. Para versões do Apache Dubbo anteriores à 2.7.15, atualize para a versão 2.7.15 ou posterior. Para versões do Apache Dubbo anteriores à 3.0.5, atualize para a versão 3.0.5 ou posterior. Para versões do dubbo hessian-lite 3.2.11 e anteriores, atualize para uma versão posterior à 3.2.11. Como solução temporária, considere desativar o protocolo Hessian2 até que um patch esteja disponível.