1. 墨知首页
  2. 漏洞

Apache Dubbo 3.1.5 反序列化漏洞 (CVE-2023-46279)

• 漏洞
漏洞类型 反序列化 发现时间 2023-12-15 漏洞等级 严重
MPS编号 MPS-k3ml-xyci CVE编号 CVE-2023-46279 漏洞影响广度 广
目录 隐藏
1 漏洞危害
2 影响范围及处置方案
2.1 OSCS 平台影响范围和处置方案
3 排查方式

漏洞危害

OSCS 描述
Apache Dubbo 是一款易用、高性能的 WEB 和 RPC 框架。
在3.1.5版本中，由于新增的SerializeSecurityManager类存在缺陷，addToAllow方法未正确过滤黑名单的类，攻击者可能绕过黑名单限制，反序列化任意类，从而远程执行任意代码。
参考链接：https://www.oscs1024.com/hd/MPS-k3ml-xyci

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.dubbo:dubbo [3.1.5, 3.1.6) 升级 将 org.apache.dubbo:dubbo 升级至 3.1.6 及以上版本
org.apache.dubbo:dubbo-common [3.1.5, 3.1.6) 升级 将 org.apache.dubbo:dubbo-common 升级至 3.1.6 及以上版本
参考链接：https://www.oscs1024.com/hd/MPS-k3ml-xyci

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html
方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-k3ml-xyci

https://nvd.nist.gov/vuln/detail/CVE-2023-46279

http://www.openwall.com/lists/oss-security/2023/12/15/3

https://lists.apache.org/thread/zw53nxrkrfswmk9n3sfwxmcj7x030nmo

https://github.com/apache/dubbo/commit/84c1c35aaeca5a917e49c1184d19435416c11a78

https://github.com/apache/dubbo/commit/c71a05a58c9db46638417cc6ecee32be5508d92c

赞 (0)
上一篇 2023年12月14日 下午12:00
下一篇 2023年12月18日 下午12:00

相关推荐

  • 禅道项目管理系统身份认证绕过风险 (MPS-djcs-koe8)

    漏洞类型 身份验证不当 发现时间 2024-04-26 漏洞等级 高危 MPS编号 MPS-djcs-koe8 CVE编号 – 漏洞影响广度 一般 漏洞危害 OSCS 描述 禅道(ZenTao)项目管理系统是国产开源管理软件，提供整套工具来帮助团队管理整个软件开发生命周期，包括需求管理、迭代计划、任务分配、缺陷跟踪、文档管理和测试用例管理等功能。…

    漏洞 2024年4月26日
    0
  • jeecg-boot/积木报表基于H2驱动的任意代码执行漏洞 [有POC] 漏洞

    jeecg-boot/积木报表基于H2驱动的任意代码执行漏洞 [有POC]

    漏洞类型 代码注入 发现时间 2023/8/11 漏洞等级 高危 MPS编号 MPS-bjs4-n6dm CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的的低代码开发平台，积木报表是其中的低代码报表组件。JeecgBoot 受影响版本中，由于 jeecg-boot/jmreport/testConnec…

    2023年9月1日
    0
  • Jira Assets Discovery 组件存在注入漏洞 (CVE-2024-21682) 漏洞

    Jira Assets Discovery 组件存在注入漏洞 (CVE-2024-21682)

    漏洞类型 代码注入 发现时间 2024-02-21 漏洞等级 高危 MPS编号 MPS-s5lz-o62n CVE编号 CVE-2024-21682 漏洞影响广度 一般 漏洞危害 OSCS 描述 Assets Discovery 组件是一个网络扫描工具，可与Jira Service Management Cloud、Data Center或Server配合使…

    2024年2月21日
    0
  • Apache DolphinScheduler 敏感信息泄漏 (CVE-2023-48796) 漏洞

    Apache DolphinScheduler 敏感信息泄漏 (CVE-2023-48796)

    漏洞类型 未授权敏感信息泄露 发现时间 2023-11-24 漏洞等级 高危 MPS编号 MPS-p9et-w8rl CVE编号 CVE-2023-48796 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache DolphinScheduler 是一个分布式、易扩展、可视化的工作流任务调度平台。 受影响版本中，由于没有限制暴露的端点，导致所有端点全部…

    2023年11月26日
    0
  • JeecgBoot <=3.5.1 存在sql注入漏洞 （ CVE-2023-34602） 漏洞

    JeecgBoot <=3.5.1 存在sql注入漏洞 （ CVE-2023-34602）

    漏洞类型 SQL注入 发现时间 2023/6/19 漏洞等级 中危 MPS编号 MPS-okys-m9ai CVE编号 CVE-2023-34602 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的基于代码生成的快速开发平台。受影响版本中，由于 SystemApiController#queryTableDictItemsByCo…

    2023年8月31日
    0