PT-2021-18656 · Apache · Apache Dubbo

Publicado 2021-05-29 · Atualizado 2022-03-18 · CVE-2021-30181

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Dubbo anteriores à 2.6.9 e à 2.7.9

Descrição

A vulnerabilidade permite a execução de código arbitrário devido ao suporte ao roteamento de scripts. Esse recurso permite que os usuários encaminhem solicitações para o servidor correto por meio de regras. Ao analisar essas regras, o Dubbo utiliza o ScriptEngine e executa a regra fornecida pelo script, o que pode permitir a execução de código arbitrário por padrão.

Recomendações

Para versões anteriores à 2.6.9, atualize para a versão 2.6.9 ou posterior.

Para versões anteriores à 2.7.9, atualize para a versão 2.7.9 ou posterior.

Como solução alternativa temporária, considere desativar o recurso de roteamento de scripts até que um patch esteja disponível.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2021-30181

GHSA-QMFC-6WWW-FJQW

Produtos afetados

Apache Dubbo

Referências · 5

• https://osv.dev/vulnerability/CVE-2021-30181 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qmfc-6www-fjqw · Aviso do Fabricante
• https://lists.apache.org/thread.html/re22410dc704a09bc7032ddf15140cf5e7df3e8ece390fc9032ff5587%40%3Cdev.dubbo.apache.org%3E · Aviso do Fabricante
• https://t.me/cybersecuritytechnologies/3699 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-30181 · Nota de Segurança