Apache Dubbo出现严重漏洞,华为云WAF可提供防护

业界动态
2020
02/14
北国网
分享

2020年2月13日,华为云安全团队监测到应用广泛的Apache Dubbo出现一个较为严重的漏洞:反序列化漏洞(漏洞编号:CVE-2019-17564)。攻击者利用该漏洞,可在目标网站上远程执行恶意代码,最终导致网站被控制、数据泄露等。目前,华为云Web应用防火墙(Web Application Firewall,WAF)提供了对该漏洞的防护。

一、漏洞原理

Apache Dubbo是一款应用广泛的高性能轻量级的Java 远程调用分布式服务框架,支持多种通信协议。当网站安装了Apache Dubbo并且启用http协议进行通信时,攻击者可以向网站发送POST请求,在请求里可以执行一个反序列化的操作,由于没有任何安全校验,这个反序列化过程可以执行任意代码。这里,序列化是指把某个编程对象转换为字节序列的过程,而反序列化是指把字节序列恢复为某个编程对象的过程。

二、影响的版本范围

漏洞影响的Apache Dubbo产品版本包括: 2.7.0~2.7.4、2.6.0~2.6.7、2.5.x 的所有版本。

三、防护方案

1、Apache Dubbo官方建议用户网站升级到安全的2.7.5版本。

2、如无法快速升级版本,或希望防护更多其他漏洞,可使用华为云WAF内置的防护规则对该漏洞进行防护,步骤如下:

购买WAF。

将网站域名添加到WAF中并完成域名接入。

将Web基础防护的状态设置为“拦截”模式。


THE END
广告、内容合作请点击这里 寻求合作
免责声明:本文系转载,版权归原作者所有;旨在传递信息,不代表新Q科技的观点和立场。

相关热点

2月26日,努比亚官方开启开学特惠活动(活动工夫是2月26日-27日),多款新机降价促销,其中努比亚Z17mini 6GB+64GB版售价1299元。努比亚Z17mini是努比亚在2017年推出的中端澳门葡京元鼎,其亮点是拍照。它搭载了索尼1300万像素后置摄像头,其中一颗为黑色镜头,搭载真颜色RGB Sensor,担任采集丰厚的颜色信息,另一颗为彩色镜头,搭载索尼定制全透光MONO Sensor,进光
通信/计算
iPhone 7发布时,苹果做出了一项严重决议,那就是丢弃了耳机孔在iPhone上呈现的时机,开端全力拥抱无线耳机,这样做的益处不言而喻。剔除3.5mm耳机孔可以让苹果借机赚取更多的钱,当然更深层的一点是,为寸土寸金的外部设计留出空间,既然行业的领头羊都曾经做出表率,其他厂商跟进也是必定。随后我们看到不少澳门葡京元鼎厂商开端摒弃3.5mm耳机孔,而谷歌和高通也在一定水平上减速了这个状况的发作,不过关于全
通信/计算
  还有几天,你们就要正式和2017年说拜拜了。而在这一年里,有哪部澳门葡京元鼎让你映像深刻呢?可能有些让你映像深刻的澳门葡京元鼎本身在市场上
数码产品
  今年苹果发布了iPhone 8/8Plus/X三部澳门葡京元鼎,但恐怕连库克自己都没想到iPhone8/8Plus命途多舛,市场的不认可、设备本身的不完善
数码产品
  北京时间2017年11月22日,中国铁路正式宣布,从11月23日起(,中国铁路客户服务中心12306网站将正式上线微信支付功能。也就是
业界动态
  现在提起电商大佬,可能你们第一时间就会想到马云和刘强东,对吧?但在小智还年轻的时代,这两个名字还不存在,那个时候听到最
数码产品

相关推荐

1
3