CVE-2021-43297-POC

CVE-2021-43297 脆弱性の説明 Apache Dubbo Hessian-Lite 3.2.11以前のバージョンには、潜在的なRCE攻撃リスクが存在します。Hessian-Liteはシリアライズ例外が発生した際に関連情報を出力しますが、これにより悪意を持ってカスタマイズされたBeanのtoStringメソッドがトリガーされる可能性があり、RCE攻撃につながる恐れがあります。 原理 最初のPOCはApache Dubbo=2.7.8でのみRCEを実現できました。原理については先知文章（審査通過後に修正して戻します）を参照してください。投稿後にさらに研究を重ね、Apache...

CVE-2022-39198

A deserialization vulnerability existed in dubbo hessian-lite 3.2.12 and its earlier versions, which could lead to malicious code execution. This issue affects Apache Dubbo 2.7.x version 2.7.17 and prior versions; Apache Dubbo 3.0.x version 3.0.11 and prior versions; Apache Dubbo 3.1.x version...

CVE-2021-43297

A deserialization vulnerability existed in dubbo hessian-lite 3.2.11 and its earlier versions, which could lead to malicious code execution. Most Dubbo users use Hessian2 as the default serialization/deserialization protocol, during Hessian catch unexpected exceptions, Hessian will log out some...

Deserialization of Untrusted Data

A deserialization vulnerability existed in dubbo hessian-lite 3.2.12 and its earlier versions, which could lead to malicious code execution. This issue affects Apache Dubbo 2.7.x version 2.7.17 and prior versions; Apache Dubbo 3.0.x version 3.0.11 and prior versions; Apache Dubbo 3.1.x version...