专栏首页业余草Dubbo爆出严重漏洞!可导致网站被控制、数据泄露!附解决方案

Dubbo爆出严重漏洞!可导致网站被控制、数据泄露!附解决方案

作者:业余草

来源:https://www.xttblog.com/?p=4783

近日检测到Apache Dubbo官方发布了CVE-2019-17564漏洞通告,360灵腾安全实验室判断漏洞等级为高,利用难度低,威胁程度高,影响面大。建议使用用户及时安装最新补丁,以免遭受黑客攻击。

2020年2月13日,各云安全团队也监测到应用广泛的 Apache Dubbo 出现一个较为严重的漏洞:反序列化漏洞(漏洞编号:CVE-2019-17564)。攻击者利用该漏洞,可在目标网站上远程执行恶意代码,最终导致网站被控制、数据泄露等。目前,各云服务厂商的 Web 应用防火墙(Web Application Firewall,WAF)都提供了对该漏洞的防护。

一、漏洞原理

Apache Dubbo 是一款应用广泛的高性能轻量级的 Java 远程调用分布式服务框架,支持多种通信协议。它的高性能和轻量级且开源的 Java RPC 框架深受国内用户喜爱。它提供了三大核心能力:面向接口的远程方法调用,智能容错和负载均衡以及服务自动注册和发现。当网站安装了 Apache Dubbo 并且启用 http 协议进行通信时,攻击者可以向网站发送 POST 请求,在请求里可以执行一个反序列化的操作,由于没有任何安全校验,这个反序列化过程可以执行任意代码。这里,序列化是指把某个编程对象(如 gadgets)转换为字节序列的过程,而反序列化是指把字节序列恢复为某个编程对象的过程。

二、漏洞详情

漏洞分析,开始跟踪

请求传入org.apache.dubbo.rpc.protocol.http.HttpProtocol中的handle

通过进一步跟踪发现其传入org.springframework.remoting.httpinvoker.HttpInvokerServiceExporter readRemoteInvocation

org.springframework.remoting.rmi.RemoteInvocationSerializingExporter中,报文中 post data 部分为 ois,全程并没有做任何安全过滤和检查,直接进行readObject方法

最终导致命令执行

三、影响的版本范围

漏洞影响的Apache Dubbo产品版本包括:2.7.0~2.7.4、2.6.0~2.6.7、2.5.x 的所有版本。

四、防护方案

1、Apache Dubbo官方建议用户网站升级到安全的2.7.5版本。下载地址如下:

https://github.com/apache/dubbo/tree/dubbo-2.7.5。

2、如无法快速升级版本,或希望防护更多其他漏洞,可使用各云服务公司的 WA F内置的防护规则对该漏洞进行防护,步骤如下:

1) 购买 WAF。

2) 将网站域名添加到 WAF 中并完成域名接入。

3) 将 Web 基础防护的状态设置为“拦截”模式。

五、写在最后

你们公司用的是 Dubbo 还是 SpringCloud?如果用的是 Dubbo,又是哪个大版本呢(或者基于哪个大版本深度定制)?

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • Java HTTP Host 头攻击原理以及如何防御

    很对微信群里的网友,我都称他们为老铁,从来不称兄道弟的,因为我觉得不真实。不向某东,说一套做一套。

    业余草
  • 关于 InnoDB 存储引擎的一些总结!

    时间过的很快,一眨眼一年时间就过去了。过去一年里,我也和群里的不少朋友一起成长,互相学习到不少东西!下面总结一些,我们经常在群里讨论的一些关于 MySQL 的知...

    业余草
  • 最新版 Dubbo 和 Spring Cloud 生态对比

    我和超哥是好友很久了,但是一直没有私聊过。最近朋友圈很多人在面试,而且基本都会问到微服务方面的知识。其中 Dubbo 和 Spring Cloud 的对比问道...

    业余草
  • 安全漏洞公告

    1 Check_MK 任意文件上传漏洞 Check_MK 任意文件上传漏洞发布时间:2014-03-26漏洞编号:BUGTRAQ ID: 66394 CVE(...

    安恒信息
  • 波音公司探索飞行AI,模拟人类大脑制造芯片!

    波音公司正在创建一个新的部门,专注于研究看似来自科幻小说的技术,包括模仿人类大脑神经元突触的超快速计算和基于应用量子物理学的防黑客通信链。

    新智元
  • I/O中断原理

    在Windows内核原理-同步IO与异步IO和《高性能网络通讯原理》两篇文章中,都出现了中断这两个字。本篇文章会对中断操作的原理进行说明。

    用户6786055
  • 干货 | DevSecOps在携程的最佳实践

    作为业务覆盖机票、酒店、度假、汽车票、火车票、支付等各个方面,为全球用户提供服务的在线旅游网站,携程每周都会有数以万计的应用发布次数,如何保证每一次发布代码的安...

    携程技术
  • 牛客网_Go语言相关练习_判断&选择题(4)

    错误指的是可能出现问题的地方出现了问题,比如打开一个文件时失败,这种情况在人们的意料之中;而异常指的是不应该出现问题的地方出现了问题,比如引用了空指针,这种情况...

    Zoctopus
  • 深入浅出大数据:到底什么是Hadoop?

    1998年9月4日,Google公司在美国硅谷成立。正如大家所知,它是一家做搜索引擎起家的公司。

    用户6543014
  • Java并发编程的艺术(五)——中断

    什么是中断? 在Java中没有办法立即停止一条线程,然而停止线程却显得尤为重要,如取消一个耗时操作。因此,Java提供了一种用于停止线程的机制——中断。 中断...

    大闲人柴毛毛

扫码关注云+社区

领取腾讯云代金券