[漏洞通告]CVE-2020-1948/Apache Dubbo Provider存在远程代码执行

漏洞描述

2020年2月22日,亚信安全网络攻防实验室跟踪到Apache Dubbo Provider某些协议存在远程代码执行漏洞.攻击者可以通过RPC请求发送无法识别的序列化数据,当恶意参数被反序列化时,可以造成远程代码执行.

漏洞编号

CVE-2020-1948

漏洞威胁等级

高危

影响范围

2.7.0 <= Apache Dubbo <= 2.7.6
2.6.0 <= Apache Dubbo <= 2.6.7
Apache Dubbo <= 2.5.x(官方不再维护)

漏洞验证

修复建议

1.建议升级到官方最新版本
2.该端口勿对互联网开放

###时间轴
[0] 2020/02/11 threedr3am在先知社区公开该漏洞详情
[1] 2020/02/12 亚信安全安全研究员——清水川崎发布概念验证视频
[2] 2020/06/29 亚信安全网络攻防实验室分析&复现该漏洞并发布漏洞通告

Reference