XXL-RPC 任意代码执行操作 (CVE-2023-45146)

漏洞类型 反序列化 发现时间 2023-10-18 漏洞等级 高危
MPS编号 MPS-lv03-dtjx CVE编号 CVE-2023-45146 漏洞影响广度 一般

漏洞危害

OSCS 描述
XXL-RPC是一个基于Netty和Hessian的分布式远程调用框架。Hessian是在Java应用程序中进行对象序列化和反序列化的二进制序列化协议。
XXL-PRC中通过Hessian2Input.readObject反序列化用户输入数据,并依赖了存在漏洞的Caucho Hessian协议实现。
攻击者可能利用该特性,向存在漏洞的RPC server发送恶意数据,执行任意代码。
参考链接:https://www.oscs1024.com/hd/MPS-lv03-dtjx

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
com.xuxueli:xxl-rpc (-∞, 1.7.0] 缓解措施 避免RPC服务直接对外暴露或在JVM启动命令中添加:-Djava.rmi.server.useCodebaseOnly=true限制远程类加载
参考链接:https://www.oscs1024.com/hd/MPS-lv03-dtjx

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-lv03-dtjx

https://securitylab.github.com/advisories/GHSL-2023-052_XXL-RPC/

https://github.com/xuxueli/xxl-rpc

https://nvd.nist.gov/vuln/detail/CVE-2023-45146

(0)
上一篇 2023年10月19日 下午4:00
下一篇 2023年10月20日 下午12:00

相关推荐

  • Apache Flink Stateful Functions 存在 HTTP 标头注入漏洞 (CVE-2023-41139)

    漏洞类型 CRLF注入 发现时间 2023-09-20 漏洞等级 中危 MPS编号 MPS-g0z9-ja3f CVE编号 CVE-2023-41139 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Flink 是开源、分布式流处理框架,Stateful Functions 是 Apache Flink 的一个模块,用于构建分布式、弹性的实时应用…

    2023年9月21日
    0
  • 普元 EOS Platform<=7.6 远程代码执行漏洞 (MPS-m0cs-ai27)

    漏洞类型 反序列化 发现时间 2024-04-24 漏洞等级 严重 MPS编号 MPS-m0cs-ai27 CVE编号 – 漏洞影响广度 小 漏洞危害 OSCS 描述 Primeton EOS Platform 是普元信息开发的企业级应用集成平台。 Primeton EOS Platform 7.6 及之前版本中存在反序列化漏洞,未授权的攻击者可…

    漏洞 2024年4月25日
    0
  • follow-redirects<1.15.4 主机名验证不当漏洞 (CVE-2023-26159)

    漏洞类型 输入验证不恰当 发现时间 2024-01-02 漏洞等级 高危 MPS编号 MPS-2023-5153 CVE编号 CVE-2023-26159 漏洞影响广度 极小 漏洞危害 OSCS 描述 follow-redirects 是用于自动处理 HTTP 和 HTTPS 请求重定向的NPM组件包。 follow-redirects 1.15.4之前版本…

    2024年1月3日
    0
  • Apache OFBiz 任意文件读取和 SSRF 漏洞 (CVE-2023-50968)

    漏洞类型 SSRF 发现时间 2023-12-26 漏洞等级 中危 MPS编号 MPS-e3rj-bani CVE编号 CVE-2023-50968 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache OFBiz 是一个开源的企业资源计划系统。 在 getJSONuiLabelArray 接口的处理方法 CommonEvents.java#getJS…

    2023年12月28日
    0
  • Apache Struts2 存在远程代码执行漏洞 (CVE-2023-50164)

    漏洞类型 对外部实体的文件或目录可访问 发现时间 2023-12-07 漏洞等级 严重 MPS编号 MPS-5qa9-hjgt CVE编号 CVE-2023-50164 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Struts是美国阿帕奇(Apache)基金会的开源Web项目,是一套用于创建企业级Java Web应用的开源MVC框架。 在受影响…

    2023年12月8日
    0