KnowSafe 安全预警：Apache Dubbo Provider http协议反序列化漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2019-17564 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

不安全的反序列化发生在启用了HTTP远程处理的Dubbo应用程序中。攻击者可以提交一个包含Java对象的POST请求，以完全破坏Apache Dubbo的提供者实例(如果该实例启用了HTTP)。这个问题影响了Apache Dubbo 2.7.0到2.7.4,2.6.0到2.6.7，以及所有2.5。x版本。

影响范围

应用：apache dubbo（影响面 Up to (including) 2.5.10）

应用：apache dubbo（影响面 Up to (including) 2.6.7）

应用：apache dubbo（影响面 Up to (including) 2.7.4）

解决方案

升级至安全版本。

参考信息

https://advisory.checkmarx.net/advisory/CX-2020-4275

https://lists.apache.org/thread.html/r13f7a58fa5d61d729e538a378687118e00c3e229903ba1e7b3a807a2%40%3Cdev.dubbo.apache.org%3E

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。