PT-2022-11816 · Apache · Apache Dubbo+1
Cxc
+4
·
Publicado
2022-01-10
·
Atualizado
2022-01-18
·
CVE-2021-43297
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Apache Dubbo anteriores à 2.6.12
Versões do Apache Dubbo anteriores à 2.7.15
Versões do Apache Dubbo anteriores à 3.0.5
Versões do dubbo hessian-lite 3.2.11 e anteriores
Descrição
Existia uma vulnerabilidade de desserialização no dubbo hessian-lite, que poderia levar à execução de código malicioso. A maioria dos usuários do Dubbo utiliza o Hessian2 como protocolo padrão de serialização/desserialização. Durante o Hessian, a captura de exceções inesperadas registra algumas informações para os usuários, o que pode causar a execução remota de comandos.
Recomendações
Para versões do Apache Dubbo anteriores à 2.6.12, atualize para a versão 2.6.12 ou posterior.
Para versões do Apache Dubbo anteriores à 2.7.15, atualize para a versão 2.7.15 ou posterior.
Para versões do Apache Dubbo anteriores à 3.0.5, atualize para a versão 3.0.5 ou posterior.
Para versões do dubbo hessian-lite 3.2.11 e anteriores, atualize para uma versão posterior à 3.2.11.
Como solução temporária, considere desativar o protocolo Hessian2 até que um patch esteja disponível.
Exploit
Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Dubbo
Dubbo Hessian-Lite