KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-1948 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Apache Dubbo是一款应用广泛的Java RPC分布式服务框架。Apache Dubbo于2020年6月23日披露在Dubbo Provider中存在一个反序列化远程代码执行漏洞（CVE-2020-1948），攻击者可以构造并发送带有恶意参数负载的RPC请求，当恶意参数被反序列化时将导致远程代码执行。KnowSafe应急响应中心提醒Apache Dubbo用户尽快采取安全措施阻止漏洞攻击。
影响范围
应用：apache dubbo（影响面 Up to (including) 2.5.10）
应用：apache dubbo（影响面 Up to (including) 2.6.7）
应用：apache dubbo（影响面 Up to (including) 2.7.6）
解决方案
1. 建议将Dubbo升级至安全版本。下载地址参考 https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7
2. 禁止将Dubbo服务端端口开放给公网，或仅仅只对能够连接至Dubbo服务端的可信消费端IP开放。
3. Dubbo协议默认采用Hessian作为序列化反序列化方式，该反序列化方式存在反序列化漏洞。在不影响业务的情况下，建议更换协议以及反序列化方式。具体更换方法可参考：http://dubbo.apache.org/zh-cn/docs/user/references/xml/dubbo-protocol.html
参考信息
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。