Dubbo未授权访问漏洞

Dubbo是阿里巴巴公司开源的一个高性能优秀的 服务框架，使得应用可通过高性能的 RPC 实现服务的输 出和输入功能，可以和 Spring框架无缝集成。dubbo 因配置不当导致未授权访问漏洞。

》》》漏洞复现《《《

步骤一：使用以下语句在Fofa上进行资产收集....

(app="APACHE-dubbo") && (is_honeypot=false && is_fraud=false)

步骤二：使用Telnet程序直接进行链接测试....

》》》防御手段《《《

1. 配置dubbo认证。
2. 设置防火墙策略；
如果正常业务中dubbo 服务需要被其他服务器来访问，可以通过 iptables 策略，仅允许指定的 IP 来访问服务。