内容简介：2020年6月29日，阿里云应急响应中心监测到 CVE-2020-1948 Apache Dubbo反序列化漏洞补丁存在缺陷，可以绕过原有补丁并执行任意指令。· 2020.06.23 监测到 CVE-2020-1948 Apache Dubbo反序列化漏洞· 2020.06.29 监测到 CVE-2020-1948 Apache Dubbo反序列化漏洞 补丁绕过
2020年6月29日，阿里云应急响应中心监测到 CVE-2020-1948 Apache Dubbo反序列化漏洞补丁存在缺陷，可以绕过原有补丁并执行任意指令。
时间线
· 2020.06.23 监测到 CVE-2020-1948 Apache Dubbo反序列化漏洞
· 2020.06.29 监测到 CVE-2020-1948 Apache Dubbo反序列化漏洞 补丁绕过
漏洞描述
Apache Dubbo是一种基于 Java 的高性能RPC框架。Apache Dubbo官方披露在Dubbo Provider中存在一个反序列化远程代码执行漏洞(CVE-2020-1948),攻击者可以构造并发送带有恶意参数负载的RPC请求，当恶意参数被反序列化时将导致远程代码执行。
目前，2.7.7版本的官方补丁中存在缺陷，攻击者可以绕过并执行任意指令，危害极大。
漏洞影响范围
· Apache Dubbo 2.7.0~2.7.7
· Apache Dubbo 2.6.0~2.6.7
· Apache Dubbo 2.5.x系列所有版本（官方不再提供支持）
安全建议
目前官方还未发布针对此漏洞绕过手法的补丁，建议客户参考以下方法进行缓解，并关注官方补丁动态，及时进行更新：
-
1. 升级至2.7.7版本，并根据https://github.com/apache/dubbo/pull/6374/commits/8fcdca112744d2cb98b349225a4aab365af563de的方法进行参数校验
-
2. 禁止将Dubbo服务端端口开放给公网，或仅仅只对能够连接至Dubbo服务端的可信消费端IP开放
-
Dubbo协议默认采用Hessian作为序列化反序列化方式，该反序列化方式存在反序列化漏洞。在不影响业务的情况下，建议更3. 换协议以及反序列化方式。具体更换方法可参考：http://dubbo.apache.org/zh-cn/docs/user/references/xml/dubbo-protocol.html
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持 码农网
猜你喜欢:
- Influxdb 认证绕过漏洞预警
- Ghostscript 多个-dSAFER 沙箱绕过漏洞
- ghostscript沙箱绕过远程命令执行漏洞预警
- libSSH 认证绕过漏洞(CVE-2018-10933)分析
- Shiro权限绕过漏洞分析（CVE-2020-2957）
- Shiro身份验证绕过漏洞(CVE-2020-11989)细节
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
创业就是要细分垄断
李开复、汪华、傅盛 / 文化发展出版社 / 2017-5-1 / CNY 45.00
对各方面资源极为有限的创业公司而言，想在激烈的市场竞争中站立下来的第一步是：成为细分市场的垄断者。不管是资本还是尖端人才，追逐的永远是行业里尖端的企业，第二名毫无意义。 首先，要精准定位潜在市场。这个市场的需求仍没有被满足，并且潜力巨大。其次，抓住时代和行业的红利，通过高速增长实现“小垄断”，抢滩登陆。最后，在细分领域里建立起自己的竞争壁垒，应对巨头和竞争对手的复制，去扩展更大的市场，从而扩......一起来看看 《创业就是要细分垄断》 这本书的介绍吧!
