【通告更新】Apache Dubbo多个高危漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

近日，奇安信CERT监测到国外安全研究人员发布了Apache Dubbo多个漏洞的相关细节，其中包含Apache Dubbo Hessian2 协议反序列化漏洞（CVE-2021-25641），Apache Dubbo Generic filter 远程代码执行漏洞（CVE-2021-30179）， Apache Dubbo Telnet handler 远程代码执行漏洞（CVE-2021-32824），Apache Dubbo YAML反序列化漏洞（CVE-2021-30180），Apache Dubbo Nashorn 脚本远程代码执行漏洞（CVE-2021-30181），官方已有可更新版本，鉴于漏洞危害较大，建议用户及时安装更新补丁。

本次更新内容：

新增CVE-2021-25641 漏洞复现截图

新增产品线解决方案

近日，奇安信CERT监测到国外安全研究人员发布了Apache Dubbo多个漏洞的相关细节，其中包含:

Apache Dubbo Hessian2 协议反序列化漏洞（CVE-2021-25641）:

Apache Dubbo 中存在反序列化漏洞，攻击者可在未授权的情况下，通过特制的数据包绕过Hessian2 协议黑名单限制，实现命令执行。

奇安信 CERT 第一时间复现了CVE-2021-25641漏洞，复现截图如下: 

Apache Dubbo Generic filter 远程代码执行漏洞（CVE-2021-30179）：

Apache Dubbo 默认支持对程序接口公开的任意方法的泛型调用，这些调用由 GenericFilter 处理，由于其过滤不严，攻击者可构造恶意请求实现远程代码执行。

Apache Dubbo Telnet handler 远程代码执行漏洞（CVE-2021-32824）：

Apache Dubbo 主服务端口允许访问Telnet handler，攻击者可以调用恶意方法实现远程代码执行。

Apache Dubbo 反序列化漏洞YAML（CVE-2021-30180）：

Apache Dubbo 支持标签路由，客户能够将请求路由到正确的服务器，客户在发出请求为了找到正确的端点时会使用这些规则。在解析这些 YAML 规则时，Dubbo 客户可以启用调用任意构造函数。只有启用标签路由器的用户可能会受到影响。

Apache Dubbo Nashorn 脚本远程代码执行漏洞（CVE-2021-30181）: 

Apache Dubbo 存在远程代码执行漏洞，攻击者控制ZooKeeper注册中心后可构造恶意请求注入Nashorn脚本，造成任意代码执行。

目前官方已有可更新版本，鉴于漏洞危害较大，建议用户及时安装更新补丁。

2.7.0 <= Dubbo <= 2.7.8

2.6.0 <= Dubbo <= 2.6.9

2.5.0 <= Dubbo <= 2.5.10（2.5.x官方不再维护）

链接地址：

https://github.com/apache/dubbo/releases/tag/dubbo-2.7.10

https://github.com/apache/dubbo/releases/tag/dubbo-2.6.9

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：52239，建议用户尽快升级检测规则库至2106242130以后版本并启用该检测规则。

奇安信网神智慧防火墙产品防护方案

奇安信新一代智慧防火墙（NSG3000/5000/7000/9000系列）和下一代极速防火墙（NSG3500/5500/7500/9500系列）产品系列，已通过更新IPS特征库完成了对该漏洞的防护。建议用户尽快将IPS特征库升级至” 2106242100” 及以上版本并启用规则ID: 1248601进行检测。

奇安信开源卫士已支持

奇安信开源卫士20210624.727版本已支持对Apache Dubbo Hessian2 协议反序列化漏洞（CVE-2021-25641）的检测。

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.0623.12900或以上版本。规则ID及规则名称：0x5dbe，Apache Dubbo远程代码执行漏洞(CVE-2021-25641/CVE-2021-30181)。

奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信网神统一服务器安全管理平台更新入侵防御规则库

奇安信网神虚拟化安全轻代理版本将于6月25日发布入侵防御规则库2021.06.25版本，支持对Apache Dubbo Hessian2 协议反序列化漏洞（CVE-2021-25641）的防护，届时请用户联系技术支持人员获取规则升级包对轻代理版本进行升级。

奇安信网神统一服务器安全管理平台将于6月25发布入侵防御规则库10382版本，支持对Apache Dubbo Hessian2 协议反序列化漏洞（CVE-2021-25641）的防护，届时请用户联系技术支持人员获取规则升级包对融合版本进行升级。

2021年6月24日，奇安信 CERT发布安全风险通告

2021年6月25日，奇安信 CERT发布安全风险通告第二次更新

点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情