Dubbo和FastJson反序列化漏洞

Dubbo

近日 Dubbo 官方报告了一个 Dubbo 远程代码执行问题（CVE-2020-1948），该问题由 Provider 反序列化漏洞引起。根据介绍，攻击者可以使用无法识别的服务名称或方法名称，并带上一些恶意参数有效载荷发送 RPC 请求。当恶意参数反序列化后，将执行一些恶意代码。

受影响的版本：

• 2.7.0 <= Dubbo Version <= 2.7.6

• 2.6.0 <= Dubbo Version <= 2.6.7

• 所有 2.5.x 版本（官方团队不再支持）

建议广大用户及时升级到2.7.7或更高版本，下载地址为：https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7。

 

FastJson

近日，阿里云应急响应中心监测到fastjson爆发新的反序列化远程代码执行漏洞，黑客利用漏洞，可绕过autoType限制，直接远程执行任意命令攻击服务器，风险极大。

fastjson采用黑白名单的方法来防御反序列化漏洞，导致当黑客不断发掘新的反序列化Gadgets类时，在autoType关闭的情况下仍然可能可以绕过黑白名单防御机制，造成远程命令执行漏洞。经研究，该漏洞利用门槛较低，可绕过autoType限制，风险影响较大。阿里云应急响应中心提醒fastjson用户尽快采取安全措施阻止漏洞攻击。

受影响的版本：

• fastjson <=1.2.68

• fastjson sec版本 <= sec9

• android版本不受此漏洞影响

升级到最新版本1.2.69或者更新的1.2.70版本。