Apache Dubbo Provider反序列化远程代码执行漏洞（CVE-2020-1948）

一、概要

近日华为云监测到Apache Dubbo披露了Provider的一个反序列化远程代码执行漏洞（CVE-2020-1948），攻击者可发送特殊构造带有恶意参数负载的RPC请求，当恶意参数被反序列化时，将导致远程代码执行。

华为云提醒使用Apache Dubbo的用户及时安排自检并做好安全加固。

详情请参考链接：

https://www.mail-archive.com/dev@dubbo.apache.org/msg06544.html

二、威胁级别

威胁级别：【严重】

（说明：威胁级别共四级：一般、重要、严重、紧急）

三、漏洞影响范围

影响版本：

Apache Dubbo 2.7.0 ~ 2.7.6

Apache Dubbo 2.6.0 ~ 2.6.7

Apache Dubbo 2.5.x 所有版本 (官方不再提供支持)。

安全版本：

Apache Dubbo 2.7.7 或更高版本

四、漏洞处置

目前，官方已发布新的插件版本修复了该漏洞，请受影响的用户升级到安全版本：

最新版本下载地址：https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7

注：修复漏洞前请将资料备份，并进行充分测试。