hessian序列化_漏洞情报Apache Dubbo反序列化漏洞及补丁绕过（哨兵云支持检测）...

Apache Dubbo 是一种基于 Java 的高性能 RPC 框架。该项目于 2011 年开源，并于 2018 年 2 月进入 Apache 孵化器，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。

近日，默安科技应急响应中心发现Apache Dubbo发布安全公告，披露Provider默认反序列化导致的远程代码执行漏洞(CVE-2020-1948)，攻击者可以发送带有无法识别的服务名或方法名及某些恶意参数负载的RPC请求，当恶意参数被反序列化时将导致代码执行。

默安科技的哨兵云资产风险监控系统目前已支持该漏洞的检测。如果您的企业存在相关风险，可以联系默安科技辅助检测是否受到此类漏洞影响，以免被攻击者恶意利用，造成品牌和经济损失。

漏洞概况

Dubbo 2.7.6或更低版本采用的默认反序列化方式存在代码执行漏洞，当Dubbo服务端暴露时(默认端口：20880)，攻击者可以发送未经验证的服务名或方法名的RPC请求，同时配合附加恶意的参数负载。当恶意参数被反序列化时，将执行恶意代码。

经验证，该反序列化漏洞需要服务端存在可以被利用的第三方库。研究发现，极大多数开发者都会使用的某些第三方库存在易被利用的攻击链，攻击者可以利用它们直接对Dubbo服务端进行恶意代码执行，影响广泛。

近日，有安全研究员声称Apache Dubbo 官方之前发布的2.7.7版本修复方式存在绕过风险。经测试，该漏洞仍然可被利用。

受影响版本

Apache Dubbo 2.7.0 ~ 2.7.7

Apache Dubbo 2.6.0 ~ 2.6.7

Apache Dubbo 2.5.x 所有版本 (官方不再提供支持)

漏洞检测

对于该漏洞，目前默安科技的哨兵云资产风险监控系统已支持通过安装相关应急插件进行检测，如下图所示。

修复建议

1. 等待官方发布最新修复补丁。(https://github.com/apache/dubbo/releases)

2. 只允许可信源访问，配置IP白名单进行限制或关闭公网端口。

3. 更换默认的反序列化方式：Dubbo协议默认采用Hessian作为序列化反序列化方式，而Hessian存在危险的反序列化漏洞。

参考链接： https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7 https://xlab.tencent.com/cn/2020/06/23/xlab-20-001/ https://cloud.tencent.com/announce/detail/1159

---