一 漏洞概述

Apache Dubbo 是一种基于 Java 的高性能 RPC 框架。该项目最初由阿里巴巴开发，于 2011 年开源，并于 2018 年 2 月进入 Apache 孵化器，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。

Apache Dubbo默认反序列化协议Hessian2被曝存在代码执行漏洞，攻击者可利用漏洞构建一个恶意请求达到远程代码执行的目的。

二 影响版本

Dubbo 2.7.0 ~ 2.7.7
Dubbo 2.6.0 ~ 2.6.8
Dubbo 所有 2.5.x 版本 (官方已不再提供支持)

三 复现过程

无

四 影响范围

根据 ZoomEye 网络空间搜索引擎对关键字 “Apache Dubbo” 进行搜索，共得到 173,910,997 条 IP 历史记录，集中分布在美国、德国和中国。

五 修复建议

官方建议用户将Apache Dubbo升级至安全版本

六 时间线

知道创宇发布漏洞情报时间：2020年8月24日

七 相关链接

https://www.mail-archive.com/dev@dubbo.apache.org/msg06676.html

ZoomEye 网络空间搜索引擎：

https://www.zoomeye.org/searchResult/report?q=Apache%20Dubbo