CVE-2021-30180
Apache Dubbo RCE bei Kunden über Condition-Route-Vergiftung (unsicheres YAML-Unmarshaling)
- Veröffentlicht
- 31.05.2021
- Aktualisiert
- 03.08.2024
- CNA zuweisen
- apache
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 99,1 %
- Modelldatum
- 19.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Apache Dubbo vor Version 2.7.9 unterstützt Tag-Routing, das es einem Kunden ermöglicht, die Anfrage an den richtigen Server weiterzuleiten. Diese Regeln werden von den Kunden verwendet, wenn sie eine Anfrage stellen, um den richtigen Endpunkt zu finden. Beim Parsen dieser YAML-Regeln können Dubbo-Kunden das Aufrufen beliebiger Konstruktoren aktivieren.
Quellen
Exploit für CVE-2021-30180, der auf das Apache Dubbo RPC-Framework abzielt und die Remote-Code-Ausführung durch manipulierte RPC-Anfragen in anfälligen Versionen ermöglicht.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.