rmi反序列化导致rce漏洞修复_烽火狼烟丨Apache Dubbo反序列化漏洞（CVE201917564）漏洞分析...

点击上方“盛邦安全WebRAY”可以订阅

漏洞描述

Apache Dubbo是一款高性能、轻量级的开源java Rpc分布式服务框架。Dubbo提供面向接口的远程过程调用、集群容错和负载均衡、服务自动注册与发现这三大主要功能。(Apache Dubbo详细介绍：http://dubbo.apache.org/en-us/index.html)

当Apache Dubbo启用HTTP协议之后，攻击者提交一个消费者的远程调用的POST请求，Apache Dubbo存在一个不安全的反序列化漏洞，从而导致远程代码执行。

 影响版本：

2.7.0 <= Apache Dubbo <= 2.7.4.1
2.6.0 <= Apache Dubbo <= 2.6.7
Apache Dubbo = 2.5.x

漏洞分析

从burp发包的报错响应包可以看出入口是javax.

servlet.http.HttpServlet.service(HttpServlet.java:790)，在该处加入断点，调试跟踪函数的走向。

进入到org.apache.dubbo.remoting.http.servlet.

DispatcherServlet文件中，先判断handler对象是否为null，不为null继续调用handler.handle(request, response)。

进入到org.apache.dubbo.rpc.protocol.http.

HttpProtocol文件中，先判断请求方式是否是POST，从request对象中获取remoteAddr和remotePort，调用setRemoteAddress函数，然后进入skeleton.

handleRequest函数。

进入org.springframework.remoting.httpinvoker.

HttpInvokerServiceExporter文件，调用readRemoteInvocation函数。

跟进 readRemoteInvocation函数，其调用RemoteInvocation.readRemoteInvocation函数。

跟进RemoteInvocation.readRemoteInvocation函数，其调用doReadRemoteInvocation函数。

进入org.springframework.remoting.rmi.

RemoteInvocationSerializingExporter文件，调用readObject函数。

其中ois为post请求的data数据，传入ois的数据没有安全过滤和处理，直接执行了readObject方法导致RCE产生。

修复建议

升级Apache Dubbo到2.7.5版本。

END