滚动企业创业科技品牌商业创新信息

滚动
商业合作:17733203660

Apache Dubbo出现严重漏洞,华为云WAF可提供防护

创新 2020-02-14 15:43 来源:北国网 作者:盒云

2020年2月13日,华为云安全团队监测到应用广泛的Apache Dubbo出现一个较为严重的漏洞:反序列化漏洞(漏洞编号:CVE-2019-17564)。攻击者利用该漏洞,可在目标网站上远程执行恶意代码,最终导致网站被控制、数据泄露等。目前,华为云Web应用防火墙(Web Application Firewall,WAF)提供了对该漏洞的防护。

一、漏洞原理

Apache Dubbo是一款应用广泛的高性能轻量级的Java 远程调用分布式服务框架,支持多种通信协议。当网站安装了Apache Dubbo并且启用http协议进行通信时,攻击者可以向网站发送POST请求,在请求里可以执行一个反序列化的操作,由于没有任何安全校验,这个反序列化过程可以执行任意代码。这里,序列化是指把某个编程对象转换为字节序列的过程,而反序列化是指把字节序列恢复为某个编程对象的过程。

二、影响的版本范围

漏洞影响的Apache Dubbo产品版本包括: 2.7.0~2.7.4、2.6.0~2.6.7、2.5.x 的所有版本。

三、防护方案

1、Apache Dubbo官方建议用户网站升级到安全的2.7.5版本。

2、如无法快速升级版本,或希望防护更多其他漏洞,可使用华为云WAF内置的防护规则对该漏洞进行防护,步骤如下:

购买WAF。

将网站域名添加到WAF中并完成域名接入。

将Web基础防护的状态设置为“拦截”模式。

  • Copyright @© 1998 - 2018 www.lnd.com.cn All Rights Reserved.
  • 本网站各类信息未经授权禁止转载 版权所有 北国网
  • 互联网新闻信息服务许可证编号:2112006002
  • 沈网警备案20040201号
  • 北国网官方微信
  • 带你每天
  • “ 动 ”
  • 起来!
  • 增值电信业务经营许可证编号:辽B-2-4-20110119
  • 广播电视节目制作经营许可证 编号:(辽)字第243号
  • 制作单位:辽宁北国传媒网络科技股份有限公司