1. 墨知首页
  2. 漏洞

Apache Dubbo 3.1.5 反序列化漏洞 (CVE-2023-46279)

• 漏洞
漏洞类型 反序列化 发现时间 2023-12-15 漏洞等级 严重
MPS编号 MPS-k3ml-xyci CVE编号 CVE-2023-46279 漏洞影响广度 广
目录 隐藏
1 漏洞危害
2 影响范围及处置方案
2.1 OSCS 平台影响范围和处置方案
3 排查方式

漏洞危害

OSCS 描述
Apache Dubbo 是一款易用、高性能的 WEB 和 RPC 框架。
在3.1.5版本中，由于新增的SerializeSecurityManager类存在缺陷，addToAllow方法未正确过滤黑名单的类，攻击者可能绕过黑名单限制，反序列化任意类，从而远程执行任意代码。
参考链接：https://www.oscs1024.com/hd/MPS-k3ml-xyci

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.dubbo:dubbo [3.1.5, 3.1.6) 升级 将 org.apache.dubbo:dubbo 升级至 3.1.6 及以上版本
org.apache.dubbo:dubbo-common [3.1.5, 3.1.6) 升级 将 org.apache.dubbo:dubbo-common 升级至 3.1.6 及以上版本
参考链接：https://www.oscs1024.com/hd/MPS-k3ml-xyci

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html
方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-k3ml-xyci

https://nvd.nist.gov/vuln/detail/CVE-2023-46279

http://www.openwall.com/lists/oss-security/2023/12/15/3

https://lists.apache.org/thread/zw53nxrkrfswmk9n3sfwxmcj7x030nmo

https://github.com/apache/dubbo/commit/84c1c35aaeca5a917e49c1184d19435416c11a78

https://github.com/apache/dubbo/commit/c71a05a58c9db46638417cc6ecee32be5508d92c

赞 (0)
上一篇 2023年12月14日 下午12:00
下一篇 2023年12月18日 下午12:00

相关推荐

  • JeecgBoot<3.5.3 存在 sql 注入漏洞 (CVE-2023-38992) [有POC] 漏洞

    JeecgBoot<3.5.3 存在 sql 注入漏洞 (CVE-2023-38992) [有POC]

    漏洞类型 SQL 注入 发现时间 2023/7/29 漏洞等级 高危 MPS编号 MPS-f2j4-cs6r CVE编号 CVE-2023-38992 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的的低代码开发平台。受影响版本中，由于 SysDictController#loadTreeData 未对用户传入的 sql 字符进行…

    2023年8月11日
    0
  • OpenSSL POLY1305 MAC算法 矢量寄存器损坏漏洞 (CVE-2023-6129) 漏洞

    OpenSSL POLY1305 MAC算法 矢量寄存器损坏漏洞 (CVE-2023-6129)

    漏洞类型 对数组索引的验证不恰当 发现时间 2024-01-10 漏洞等级 低危 MPS编号 MPS-95ig-2os6 CVE编号 CVE-2023-6129 漏洞影响广度 广 漏洞危害 OSCS 描述 OpenSSL是广泛使用的开源加密库。 在 OpenSSL 中，用于 PowerPC CPU 的 POLY1305 MAC 实现在恢复矢量寄存器的内容时，…

    2024年1月10日
    0

  • cacti <= 1.2.26 远程代码执行漏洞 (CVE-2024-25641)

    漏洞类型 代码注入 发现时间 2024-05-14 漏洞等级 严重 MPS编号 MPS-580w-3ubq CVE编号 CVE-2024-25641 漏洞影响广度 漏洞危害 OSCS 描述 Cacti 是一款基于 PHP 开发的网络流量监测图形分析工具。 在受影响的版本中，由于 /lib/import.php 文件中的 import_package 函数未对…

    漏洞 2024年5月16日
    0
  • vm2 <=3.9.19 远程代码执行漏洞(Promise 绕过) （CVE-2023-37466） 漏洞

    vm2 <=3.9.19 远程代码执行漏洞(Promise 绕过) （CVE-2023-37466）

    漏洞类型 注入 发现时间 2023/7/14 漏洞等级 严重 MPS编号 MPS-dvto-znpx CVE编号 CVE-2023-37466 漏洞影响广度 广 漏洞危害 OSCS 描述 vm2 是一个基于 Node.js 的沙箱环境，Promise 对象用来处理异步代码。3.9.19 及之前版本中，Promise 处理程序的过滤机制可以被绕过，攻击者可通过…

    2023年8月31日
    0

  • Apache Solr Operator 身份验证凭据泄漏漏洞 (CVE-2024-31391)

    漏洞类型 日志敏感信息泄露 发现时间 2024-04-12 漏洞等级 中危 MPS编号 MPS-xe3h-i1nf CVE编号 CVE-2024-31391 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Solr 是一款开源的搜索引擎。 当Solr Operator配置为启用基本身份验证（.solrOptions.security.authen…

    漏洞 2024年4月15日
    0