CVE-2021-25641

概要

# Apache Dubbo のシリアライゼーションID改ざんによる脆弱性 各 Apache Dubbo サーバーは、クライアントに対して自身が使用しているシリアライゼーションプロトコルを通知するためにシリアライゼーションIDを設定します。しかし、2.7.8 または 2.6.9 より前の Dubbo バージョンでは、攻撃者がバイトプリアンブルのフラグを改ざんすることで（つまりサーバーの指示に従わずに）、Provider が使用するシリアライゼーションIDを選択することができます。これは、Kryo や FST などの脆弱なデシリアライザが何らかの形でコードスコープ内に存在する場合（例えば、Kryo が何らかの依存関係の一部である場合）、リモートの認証されていない攻撃者が Provider に脆弱なデシリアライザを使用するよう指示し、それを悪用することができることを意味します。

• CVE-2021-25641-Proof-of-ConceptPoC

  Apache/Alibaba Dubbo <= 2.7.3 向けの CVE-2021-25641 PoC コード。信頼できないデータのデシリアライゼーションによる RCE を引き起こします。異なるガジェットを使用した場合、影響を受けるバージョンは <= 2.7.6 です。

• CVE-2021-25641エクスプロイト

  CVE-2021-25641のエクスプロイト。Apache DubboのRCE脆弱性を標的とし、バージョン2.5.xから2.7.8に影響します。脆弱なDubboサービスに対して直接展開できるスタンドアロンJARとしてパッケージ化されています。