Apache Dubbo 漏洞列表

Unsafe deserialization occurs within a Dubbo application which has HTTP remoting enabled. An attacker may submit a POST request with a Java object in it to completely compromise a Provider instance of Apache Dubbo, if this instance enables HTTP. This issue affected Apache Dubbo 2.7.0 to 2.7.4, 2.6.0 to 2.6.7, and all 2.5.x versions.

Apache Dubbo 反序列化漏洞

Dubbo 是一个高性能且优秀的服务框架。在 CVE-2023-23638 中，发现旧版本的 Dubbo 存在反序列化漏洞，攻击者可以在能够访问 Dubbo 服务的情况下，构造恶意请求，触发反序列化并执行任意代码。

Dubbo是一个高性能优秀的服务框架。CVE-2022-39198中，在Dubbo Hessian-Lite 3.2.12 之前版本中存在反序列化漏洞，攻击者在可访问到dubbo服务的情况下可构造恶意请求触发反序列化，执行任意代码。

Dubbo是一个高性能优秀的服务框架。CVE-2021-43297中，在Dubbo Hessian-Lite 3.2.11及之前版本中存在潜在RCE攻击风险。Hessian-Lite在遇到序列化异常时会输出相关信息，这可能导致触发某些恶意定制的Bean的toString方法，从而引发远程代码执行。

ApacheDubbo是一种基于Java的高性能RPC框架。该项目于2011年开源，并于2018年2月进入Apache孵化器，目前已经成为了广大开发者最常使用的微服务框架之一。它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。其中Dubbo主服务端口还可以用于访问Telnet Handler，它提供了一些基本方法来收集有关服务公开的提供者和方法的信息，通过该服务可以达成命令执行。

ApacheDubbo是一种基于Java的高性能RPC框架。该项目于2011年开源，并于2018年2月进入Apache孵化器，目前已经成为了广大开发者最常使用的微服务框架之一。它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。其中Hessian2协议存在反序列化漏洞，攻击者可在未授权的情况下，通过特制的数据包绕过Hessian2 协议黑名单限制，实现命令执行。

ApacheDubbo是一种基于Java的高性能RPC框架。该项目于2011年开源，并于2018年2月进入Apache孵化器，目前已经成为了广大开发者最常使用的微服务框架之一。它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。Dubbo2.7.6或更低版本采用hessian2实现反序列化，其中存在反序列化远程代码执行漏洞。攻击者可以发送未经验证的服务名或方法名的RPC请求，同时配合附加恶意的参数负载。当服务端存在可以被利用的第三方库时，恶意参数被反序列化后形成可被利用的攻击链，直接对Dubbo服务端进行恶意代码执行。

In CVE-2021-30179, the Apache Dubbo Generic filter has poor filtering. Attackers can construct malicious requests and call malicious methods to cause remote code execution.