CVE-2019-17564: Apache Dubbo डिसीरियलाइज़ेशन भेद्यता

0x00 परिचय

Apache Dubbo एक उच्च-प्रदर्शन, हल्का, ओपन-सोर्स Java RPC फ्रेमवर्क है, जो तीन मुख्य क्षमताएँ प्रदान करता है: इंटरफ़ेस-उन्मुख रिमोट मेथड कॉल, स्मार्ट फॉल्ट टॉलरेंस और लोड बैलेंसिंग, तथा सेवाओं का स्वचालित पंजीकरण और खोज।

0x01 भेद्यता अवलोकन

Apache Dubbo कई प्रोटोकॉल का समर्थन करता है, और आधिकारिक तौर पर Dubbo प्रोटोकॉल का उपयोग करने की अनुशंसा की जाती है। Apache Dubbo के HTTP प्रोटोकॉल में एक डिसीरियलाइज़ेशन भेद्यता (CVE-2019-17564) है। इस भेद्यता का मुख्य कारण यह है कि जब Apache Dubbo HTTP प्रोटोकॉल सक्षम होता है, तो Apache Dubbo मैसेज बॉडी को ठीक से संसाधित नहीं करता है, जिससे असुरक्षित डिसीरियलाइज़ेशन होता है; जब प्रोजेक्ट पैकेज में उपयोगी gadgets मौजूद होते हैं, तो यह रिमोट कोड एक्ज़ीक्यूशन का कारण बन सकता है।

0x02 प्रभावित संस्करण

2.7.0 <= Apache Dubbo <= 2.7.4.1 2.6.0 <= Apache Dubbo <= 2.6.7 Apache Dubbo = 2.5.x

0x03 पर्यावरण सेटअप

1、चूँकि Dubbo को प्रारंभ करने के लिए Zookeeper पर निर्भरता की आवश्यकता होती है, इसलिए पहले Zookeeper स्थापित करें।

wget https://archive.apache.org/dist/zookeeper/zookeeper-3.4.10/zookeeper-3.4.10.tar.gz
# 将conf目录下的zoo_sample.cfg改名为zoo.cfg
mv zoo_sample.cfg zoo.cfg
# 进入bin目录启动zookeeper
./zkServer.sh start