CVE-2019-17564
असुरक्षित डिसीरियलाइज़ेशन किसी Dubbo एप्लिकेशन में होता है जिसमें HTTP रिमोटिंग सक्षम होती है। एक हमलावर Java ऑब्जेक्ट के साथ POST अनुरोध सबमिट करके Apache Dubbo के Provider इंस्टेंस से पूरी तरह समझौता कर सकता है,...
- प्रकाशित
- 1 अप्रैल 2020
- अद्यतन
- 5 अग॰ 2024
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 98.5%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
असुरक्षित डिसीरियलाइज़ेशन किसी Dubbo एप्लिकेशन में होता है जिसमें HTTP रिमोटिंग सक्षम होती है। एक हमलावर Java ऑब्जेक्ट के साथ POST अनुरोध सबमिट करके Apache Dubbo के Provider इंस्टेंस से पूरी तरह समझौता कर सकता है, यदि यह इंस्टेंस HTTP सक्षम करता है। यह मुद्दा Apache Dubbo 2.7.0 से 2.7.4, 2.6.0 से 2.6.7, और सभी 2.5.x संस्करणों को प्रभावित करता है।
स्रोत
dubbo/CVE-2019-17564
Aapche Dubbo Unsafe Java Deserialization (CVE-2019-17564)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/dubbo:2.7.3(dubbo/CVE-2019-17564/docker-compose.yml:services.provider.image)
- lab image version: zookeeper:3.7.0(dubbo/CVE-2019-17564/docker-compose.yml:services.zookeeper.image)
http/cves/2019/CVE-2019-17564.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।