CVE-2023-23638

للتعلم والبحث فقط

يجب توفير ZooKeeper بنفسك

بيئة الاختبار هي Java 8، ولم يتم اختبار الإصدارات الأخرى، ولا يُضمن التوفر

عند إعادة التكرار، يجب إضافة معلمة VM إلى DemoComsumer: -Ddubbo.hessian.allowNonSerializable=true، للمزيد راجع https://su18.org/post/hessian/#serializable

المقال التحليلي: https://exp10it.io/2023/03/apache-dubbo-cve-2023-23638-%E5%88%86%E6%9E%90/

جوهر POC هو استخدام class معين لتعديل الخصائص لتجاوز القيود، الكود المعطى هو لحقن JNDI، يمكن الرجوع إلى CVE-2023-23638 Apache Dubbo JavaNative تحليل ثغرة إلغاء التسلسل لتعديله بنفسك لطريقة استغلال إلغاء التسلسل