UCloud-202106-002:Apache Dubbo多个高危漏洞

漏洞描述

于2021年6月24日国外安全研究人员披露了Apache Dubbo的多个高危漏洞，Apache Dubbo是一款应用广泛的Java RPC分布式服务框架，这次公布的漏洞详情如下:

在CVE-2021-25641中，攻击者可利用其他协议绕过Hessian2黑名单造成反序列化。

在CVE-2021-30179中，Apache Dubbo Generic filter存在过滤不严，攻击者可构造恶意请求调用恶意方法从而造成远程代码执行。

在CVE-2021-32824中，Apache Dubbo Telnet handler在处理相关请求时，允许攻击者调用恶意方法从而造成远程代码执行。

在CVE-2021-30180中，Apache Dubbo多处使用了yaml.load，攻击者在控制如ZooKeeper注册中心后可上传恶意配置文件从而造成了Yaml反序列化漏洞。

在CVE-2021-30181中，攻击者可以利用控制例如ZooKeeper注册中心后可构造恶意请求注入Nashorn脚本，造成远程代码执行。

影响版本

Apache Dubbo < 2.7.10

Apache Dubbo < 2.6.10

安全版本

Apache Dubbo 2.7.10

Apache Dubbo 2.6.10

安全建议

1. 使用防火墙限制可信访问来源对Apache Dubbo端口服务的访问使用

2. 及时升级Apache Dubbo服务版本，避免遭到恶意攻击

参考链接

https://securitylab.github.com/advisories/GHSL-2021-034_043-apache-dubbo/