PT-2021-21149 · Apache · Apache Dubbo

Qin Ce · Publicado 2021-09-09 · Atualizado 2021-09-17 · CVE-2021-36161

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Dubbo anteriores à 2.7.13

Descrição

Existe uma vulnerabilidade potencial em que algum componente do Dubbo tenta imprimir a string formatada dos argumentos de entrada. Isso pode levar à execução remota de código (RCE) se for utilizado um bean personalizado de forma maliciosa com um método toString especial.

Recomendações

Para versões anteriores à 2.7.13, atualize para o Apache Dubbo 2.7.13 para resolver o problema.

Correção

Use of Externally-Controlled Format String

Enumeração de Fraquezas

CWE-134

Identificadores relacionados

CVE-2021-36161

GHSA-QVM7-23CJ-437V

Produtos afetados

Apache Dubbo

Referências · 5

• https://github.com/apache/dubbo · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-36161 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-36161 · Aviso do Fabricante
• https://lists.apache.org/thread.html/r40212261fd5d638074b65f22ac73eebe93ace310c79d4cfcca4863da%40%3Cdev.dubbo.apache.org%3E · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qvm7-23cj-437v · Aviso do Fabricante