PT-2021-21150 · Apache · Apache Dubbo

Alvaro Munoz · Publicado 2021-09-07 · Atualizado 2021-09-14 · CVE-2021-36162

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Dubbo anteriores à 2.7.13

Versões do Apache Dubbo anteriores à 3.0.2

Descrição

O problema decorre do uso da biblioteca SnakeYAML para analisar regras YAML no Apache Dubbo, que, por padrão, permite a chamada de construtores arbitrários. Um invasor com acesso ao centro de configuração pode corromper as regras, levando à execução remota de código (RCE) em todos os sistemas consumidores que recuperam as regras corrompidas.

Recomendações

Para versões do Apache Dubbo anteriores à 2.7.13, atualize para a versão 2.7.13 ou posterior.

Para versões do Apache Dubbo anteriores à 3.0.2, atualize para a versão 3.0.2 ou posterior.

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2021-36162

GHSA-R577-4HQ7-73QH

Produtos afetados

Apache Dubbo

Referências · 5

• https://github.com/apache/dubbo · Nota
• https://lists.apache.org/thread.html/rfa351115a459e214b99ffcc52c35f33359f3370c547d9c6ba1a60037%40%3Cdev.dubbo.apache.org%3E · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-36162 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-r577-4hq7-73qh · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-36162 · Nota de Segurança