KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-39198 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Dubbo是一个高性能优秀的服务框架。CVE-2022-39198中，在Dubbo Hessian-Lite 3.2.12 之前版本中存在反序列化漏洞，攻击者在可访问到dubbo服务的情况下可构造恶意请求触发反序列化，执行任意代码。
影响范围
Apache Dubbo 2.7.x <= 2.7.17
Apache Dubbo 3.0.x <= 3.0.11
Apache Dubbo 3.1.x <= 3.1.0
影响范围
应用：apache dubbo（影响面 Up to (including) 2.7.17）
应用：apache dubbo（影响面 Up to (including) 3.0.11）
应用：apache dubbo（版本 3.1.0）
解决方案
安全版本：
Apache Dubbo 2.7.18
Apache Dubbo 3.0.12
Apache Dubbo 3.1.1
为了修复此漏洞，建议用户尽快升级到上述安全版本。如果无法立即升级，建议采取以下措施：
限制对Dubbo服务的访问，确保只有可信的客户端可以发起请求。
对所有传入的请求进行严格的验证和过滤，防止恶意的反序列化请求。
监控Dubbo服务的异常日志，及时发现并应对潜在的安全威胁。
请持续关注Apache Dubbo的官方安全公告和更新，以获取最新的安全信息和补丁。
参考信息
https://lists.apache.org/thread/8d3zqrkoy4jh8dy37j4rd7g9jodzlvkk
https://www.openwall.com/lists/oss-security/2022/10/18/3
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。