0x00 漏洞编号

• CVE-2024-22399

0x01 危险等级

• 高危

0x02 漏洞概述

Apache Seata是一款开源的分布式事务解决方案，用于在微服务架构下提供高性能和简单易用的分布式事务服务。

0x03 漏洞详情

CVE-2024-22399

漏洞类型：反序列化

影响：执行任意代码

简述：Seata用于服务端与客户端通信的RPC协议以及2.0.0开始实现的Raft协议消息均支持hessian格式，由于在2.1.0及1.8.1版本之前的Hessian反序列化操作校验不严格，自身安全校验HessianSerializerFactory只作用于serialize序列化过程，攻击者可通过向Seata服务端发送恶意的hessian格式RPC数据，利用SwingLazyValue等利用链反序列化执行任意代码。

0x04 影响版本

• 1.0.0 <= Apache Seata < 1.8.1
• Apache Seata 2.0.0

0x05 POC状态

• 未公开

0x06 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：

https://seata.apache.org/

原文始发于微信公众号（浅安安全）：漏洞预警 | Apache Seata反序列化漏洞