PT-2021-16720 · Apache · Apache Dubbo

Jun Liu · Publicado 2021-05-29 · Atualizado 2022-03-18 · CVE-2021-25641

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Dubbo anteriores à 2.7.8

Versões do Apache Dubbo anteriores à 2.6.9

Descrição

A vulnerabilidade permite que um invasor escolha o ID de serialização usado pelo Provedor, contornando a instrução do servidor. Isso pode levar à exploração se um deserializador vulnerável, como Kryo ou FST, estiver no escopo do código. Um invasor remoto não autenticado pode explorar essa vulnerabilidade.

Recomendações

Para versões do Apache Dubbo anteriores à 2.7.8, atualize para a versão 2.7.8 ou posterior.

Para versões do Apache Dubbo anteriores à 2.6.9, atualize para a versão 2.6.9 ou posterior.

Como solução temporária, considere desativar o uso de deserializadores vulneráveis, como Kryo e FST, até que um patch seja aplicado.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2021-25641

GHSA-V2RG-8CWR-75G8

Produtos afetados

Apache Dubbo

Referências · 8

• 🔥 https://github.com/Dor-Tumarkin/CVE-2021-25641-Proof-of-Concept · Exploit
• 🔥 https://github.com/l0n3rs/CVE-2021-25641 · Exploit
• https://osv.dev/vulnerability/GHSA-v2rg-8cwr-75g8 · Aviso do Fabricante
• https://t.me/cvenotify/16090 · Publicação no Telegram
• https://t.me/cybersecuritytechnologies/3699 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-25641 · Aviso do Fabricante
• https://lists.apache.org/thread.html/r99ef7fa35585d3a68762de07e8d2b2bc48b8fa669a03e8d84b9673f3%40%3Cdev.dubbo.apache.org%3E · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-25641 · Nota de Segurança