PT-2021-21151 · Apache · Apache Dubbo

Alvaro Munoz · Publicado 2021-09-07 · Atualizado 2021-09-14 · CVE-2021-36163

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Dubbo anteriores à 2.7.13

Versões do Apache Dubbo anteriores à 2.6.10.1

Descrição

A vulnerabilidade diz respeito ao protocolo Hessian no Apache Dubbo, que é implementado sobre o HTTP. O HessianSkeleton é criado sem a configuração da fábrica de serialização e, portanto, sem a aplicação de listas de tipos permitidos ou bloqueados. Além disso, o serviço genérico fica sempre exposto, facilitando a ação de invasores, pois eles não precisam encontrar um par válido de nome de serviço/método.

Recomendações

Para versões anteriores à 2.7.13, atualize para a versão 2.7.13 ou posterior.

Para versões anteriores à 2.6.10.1, atualize para a versão 2.6.10.1 ou posterior.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2021-36163

GHSA-CPX9-4RWV-486V

Produtos afetados

Apache Dubbo

Referências · 8

• https://github.com/apache/dubbo/releases/tag/dubbo-2.7.13 · Nota
• https://github.com/apache/dubbo/pull/8238 · Nota
• https://github.com/apache/dubbo/releases/tag/dubbo-2.6.10.1 · Nota
• https://github.com/apache/dubbo · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-36163 · Nota de Segurança
• https://lists.apache.org/thread.html/r8d0adc057bb15a37199502cc366f4b1164c9c536ce28e4defdb428c0%40%3Cdev.dubbo.apache.org%3E · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-cpx9-4rwv-486v · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-36163 · Aviso do Fabricante