您现在的位置是：首页 > 文章详情

Apache Dubbo Hession < 3.2.13 Gadgets绕过反序列化漏洞

日期：2022-10-27点击：394收藏

漏洞描述

dubbo是一个专注于服务治理的高性能rpc框架，Hessian-lite 是 hessian 在 Apache dubbo 中内嵌的版本。

dubbo hessian-lite 受影响版本中存在反序列化漏洞。漏洞由于Hessian-lite获取序列化器对象和反序列化器对象时未检查对象是否实现了java.io.Serializable，攻击者可以利用此漏洞任意代码执行。

漏洞名称	Apache Dubbo Hession < 3.2.13 Gadgets绕过反序列化漏洞
漏洞类型	反序列化
发现时间	2022-10-18
漏洞影响广度	小
MPS编号	MPS-2022-60411
CVE编号	CVE-2022-39198
CNVD编号	-

com.alibaba:hessian-lite@(-∞, 3.2.13)

升级com.alibaba:hessian-lite到 3.2.13 或更高版本

将组件 com.alibaba:hessian-lite 升级至 3.2.13 及以上版本

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

具体订阅方式详见：

关注公众号

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。

持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

转载内容版权归作者及来源网站所有，本站原创内容转载请注明来源。