ApacheDubbo是一款高性能、轻量级的开源javaRpc分布式服务框架。核心功能有面向接口的远程过程调用、集群容错和负载均衡、服务自动注册与发现。其特点主要在以下几个方面。使用分层的架构模式，使得各个层次之间实现最大限度的解耦。将服务抽象为服务提供者与服务消费者两个角色

ApacheDubboHessian2协议处理模块中存在一个反序列化漏洞，该漏洞中Hessian2反序列化HashMap对象时，该类中的一些函数在经过一系列调用时可以进行代码执行。例如EqualBean中的HashCode方法，通过构造一些特殊的请求，可以使其加载远程恶意类并执行远程代码。

搭建Apache Dubbo 环境，向服务器中传入恶意数据，在目标服务器上执行任意命令，效果如图：

目前受影响的Apache Dubbo版本：

Apache Dubbo 2.7.0 - 2.7.7

Apache Dubbo 2.6.0 - 2.6.8

Apache Dubbo 2.5.x

Apache Dubbo 新的版本已经防御此漏洞，请受漏洞影响的用户更新到2.6.9或者2.7.8及以后，下载链接：

https://github.com/apache/dubbo/releases/tag/dubbo-2.6.9

https://github.com/apache/dubbo/releases/tag/dubbo-2.7.8

2020/8/16：Apache Dubbo披露了该远程代码执行漏洞。

2020/8/17：深信服千里目安全实验室发布漏洞安全通告。

2020/8/18：深信服千里目安全实验室复现漏洞并发布产品解决方案。

https://github.com/apache/dubbo/releases/tag/dubbo-2.6.9

https://github.com/apache/dubbo/releases/tag/dubbo-2.7.8

本文作者：深信服千里目安全实验室

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/138771.html