Apache Dubbo 远程代码执行漏洞通告-低调大师

Apache Dubbo 远程代码执行漏洞通告

2022-01-14 686

报告编号：B6-2022-011403

报告来源：360CERT

报告作者：360CERT

更新日期：2022-01-14

1 漏洞简述

2022年01月14日，360CERT监测发现Apache官方发布了Apache Dubbo hessian-lite的风险通告，漏洞编号为CVE-2021-43297，漏洞等级：高危，漏洞评分：7.5。

Dubbo是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。

对此，360CERT建议广大用户及时将Apache Dubbo升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

2 风险等级

360CERT对该漏洞的评定结果如下

3 漏洞详情

CVE-2021-43297: Apache Dubbo代码执行漏洞

CVE: CVE-2021-43297

组件: Apache Dubbo

漏洞类型: 反序列化

影响: 代码执行

简述: Apache Dubbo hessian-lite 3.2.11及之前版本存在一个反序列化漏洞。大多数Dubbo用户默认使用Hessian2序列化/反序列化协议，在Hessian捕捉到异常时，会注销用户的一些信息，这可能导致远程命令执行。

4 影响版本

5 修复建议

通用修补建议

根据影响版本中的信息，排查并升级到安全版本。下载链接：https://github.com/apache/dubbo/releases

6 时间线

2022-01-09 Apache官方发布通告

2022-01-14 360CERT发布通告

7 参考链接

https://lists.apache.org/thread/1mszxrvp90y01xob56yp002939c7hlww

微信关注我们

原文链接：https://www.oschina.net/news/178522

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

avue v2.8.26 已经发布，基于 Element 的前端框架

avue v2.8.26 已经发布，基于 Element 的前端框架此版本更新内容包括： v2.8.26 2022-01-14 新增新增Login组件的v-model属性gitee_I4QGHG,在线例子新增$ImagePreview全局方的打印功能gitee_I4PA1H 修复修复Crud组件excel导出时候bind的未知问题gitee_I4QLR6 修复Crud组件type为timerange时候的空报错问题gitee_I4PFRX 修复Crud组件复杂表头下search属性失效问题gitee_I4ML49 优化修复Crud组件数组表格的展示问题gitee_I4Q6Z8,gitee_I4OD9M 详情查看：https://gitee.com/smallweigit/avue/releases/v2.8.26

2022-01-14

862

摘要：今天和大家聊聊Flink双流Join问题。这是一个高频面试点，也是工作中常遇到的一种真实场景。本文分享自华为云社区《万字直通面试：Flink双流JOIN》，作者：大数据兵工厂。如何保证Flink双流Join准确性和及时性、除了窗口join还存在哪些实现方式、究竟如何回答才能完全打动面试官呢。。你将在本文中找到答案。 1 引子 1.1 数据库SQL中的JOIN 我们先来看看数据库SQL中的JOIN操作。如下所示的订单查询SQL，通过将订单表的id和订单详情表order_id关联，获取所有订单下的商品信息。 select a.id as '订单id', a.order_date as '下单时间', a.order_amount as '订单金额', b.order_detail_id as '订单详情id', b.goods_name as '商品名称', b.goods_price as '商品价格', b.order_id as '订单id' from dwd_order_info_pfd a right join dwd_order_deta...

2022-01-14

623

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。