PT-2020-15186 · Apache · Dubbo

Publicado 2020-07-14 · Atualizado 2022-02-10 · CVE-2020-1948

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Dubbo versões 2.7.6 e anteriores

Descrição

Este problema afeta usuários do Dubbo, permitindo que um invasor envie solicitações RPC com nomes de serviço ou métodos não reconhecidos, juntamente com cargas de parâmetros maliciosas. Quando o parâmetro malicioso é deserializado, ele executa código malicioso.

Recomendações

Para as versões 2.7.6 e anteriores do Dubbo, atualize para uma versão superior à 2.7.6 para resolver o problema.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2020-1948

GHSA-WHWW-V56C-CGV2

Produtos afetados

Dubbo

Referências · 9

• 🔥 https://github.com/ctlyz123/CVE-2020-1948 · Exploit
• 🔥 https://github.com/L0kiii/Dubbo-deserialization · Exploit
• 🔥 https://github.com/M3g4Byt3/cve-2020-1948-poc · Exploit
• 🔥 https://github.com/txrw/Dubbo-CVE-2020-1948 · Exploit
• https://osv.dev/vulnerability/GHSA-whww-v56c-cgv2 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-1948 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-1948 · Aviso do Fabricante
• https://nsfocusglobal.com/apache-dubbo-remote-code-execution-vulnerability-cve-2020-1948-threat-alert · Nota
• https://lists.apache.org/thread.html/rbaa41711b3e7a8cd20e9013737423ddd079ddc12f90180f86e76523c%40%3Csecurity.dubbo.apache.org%3E · Nota