CVE-2023-23638: ثغرة إلغاء التسلسل في Apache Dubbo وتجاوز أدوات الاستغلال | Kitploit

CVE-2023-23638

حرجةتم النشر

ثغرة إلغاء التسلسل في Apache Dubbo وتجاوز أدوات الاستغلال

تم النشر: 08‏/03‏/2023
محدث: 23‏/10‏/2024
تخصيص CNA: apache
الأدلة المرصودة: 08‏/08‏/2026

CVSS الأساسي

9.8/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

4.8‎%‎

منخفض · الثلاثين يومًا القادمة

المئوية: 91.6‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

كانت هناك ثغرة إلغاء تسلسل (deserialization) عند استدعاء dubbo العام (generic invoke)، مما قد يؤدي إلى تنفيذ كود خبيث. تؤثر هذه المشكلة على Apache Dubbo 2.7.x الإصدار 2.7.21 والإصدارات السابقة؛ Apache Dubbo 3.0.x الإصدار 3.0.13 والإصدارات السابقة؛ Apache Dubbo 3.1.x الإصدار 3.1.5 والإصدارات السابقة.

المصادر

Apache-Dubbo-CVE-2023-23638-expاستغلال
Apache Dubbo (CVE-2023-23638) الممارسة الهندسية لاستغلال الثغرات
dubbo-CVE-2023-23638PoC
استغلال PoC لـ Apache Dubbo CVE-2023-23638، وهي ثغرة في إلغاء تسلسل Hessian تتيح حقن JNDI. يتضمن مقالات تحليل ويتطلب ZooKeeper و Java 8 للاختبار.
CVE-2023-23638-Toolsاستغلال
أداة استغلال لـ CVE-2023-23638، توفر استغلالًا آليًا وتوليد حمولات لتقييم الثغرات الأمنية المستهدف واختبار الاختراق.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.