本文共 879 字，大约阅读时间需要 2 分钟。
原文来自：安全客
链接：https://www.anquanke.com/post/id/209102
0x01 漏洞背景
2020年06月23日， 360CERT监测发现 Apache 官方 发布了 Apache Dubbo 远程代码执行的风险通告，该漏洞编号为 CVE-2020-1948，漏洞等级：高危。
Apache 是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。
Apache Provider 存在反序列化漏洞，攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷，当恶意参数被反序列化时，可以造成远程代码执行。
该漏洞的相关技术细节已公开。
对此，360CERT建议广大用户及时安装最新补丁，做好资产自查以及预防工作，以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
0x03 漏洞详情
Apache Dubbo Provider 存在反序列化漏洞，攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷，当恶意参数被反序列化时，可以造成远程代码执行。
0x04 影响版本
0x05 修复建议
通用修补建议：
建议广大用户及时升级到2.7.7或更高版本，下载地址为：
https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7
0x06 相关空间测绘数据
360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现在国内均有广泛使用，具体分布如下图所示。
0x07 时间线
2020-06-22 Apache 官方发布通告
2020-06-23 360CERT发布预警
声明：本文经安全客授权发布，转载请联系安全客平台
最近热文：
1、
2、
3、
4、
5、
6、
7、
8、
9、
10、
扫码关注Java技术栈公众号阅读更多干货。
点击「」获取面试题大全～
转载地址：https://javastack.blog.csdn.net/article/details/106964606 如侵犯您的版权，请留言回复原文章的地址，我们会给您删除此文章，给您带来不便请您谅解！
发表评论
最新留言
关于作者
