CVE-2023-23638

학습 및 연구 목적으로만 제공

ZooKeeper는 별도로 준비 필요

테스트 환경은 Java 8이며, 다른 버전은 테스트되지 않았고, 사용 가능성을 보장하지 않습니다.

재현 시 DemoConsumer에 VM 매개변수를 추가해야 합니다: -Ddubbo.hessian.allowNonSerializable=true, 자세한 내용은 https://su18.org/post/hessian/#serializable를 참조하세요.

분석 글: https://exp10it.io/2023/03/apache-dubbo-cve-2023-23638-%E5%88%86%E6%9E%90/

POC의 본질은 특정 클래스를 사용하여 properties를 수정함으로써 제한을 우회하는 것입니다. 코드는 JNDI 주입을 제공합니다. CVE-2023-23638 Apache Dubbo JavaNative 역직렬화 취약점 분석을 참고하여 역직렬화 이용 방식으로 직접 수정할 수 있습니다.