CVE-2021-43297 PoC — Apache Dubbo 代码问题漏洞
关联漏洞
标题:
Apache Dubbo 代码问题漏洞
(CVE-2021-43297)
Description:Apache Dubbo是美国阿帕奇（Apache）基金会的一款基于Java的轻量级RPC（远程过程调用）框架。该产品提供了基于接口的远程呼叫、容错和负载平衡以及自动服务注册和发现等功能。 Apache Dubbo hessian-lite 3.2.11及其早期版本存在代码问题漏洞，该漏洞源于大多数Dubbo用户使用Hessian2作为默认的序列化反序列化协议，在Hessian捕获意外异常时，Hessian会为用户注销一些信息，这可能会导致远程执行命令。
Description
Apache Dubbo Hessian2 CVE-2021-43297 demo
介绍
### Apache Dubbo Hessian2异常处理时的反序列化（CVE-2021-43297）
1. 将两个项目分别导入两个idea
2. 先运行org.apache.dubbo.samples.basic.BasicProvider#main启动服务端
3. 再运行org.apache.dubbo.samples.basic.BasicConsumer#main启动客户攻击端
效果：
https://paper.seebug.org/1814/
文件快照
备注
1. 建议优先通过来源进行访问。
2. 本地 POC 快照面向订阅用户开放；当原始来源失效或无法访问时，本地镜像作为订阅权益的一部分提供。
3. 持续抓取、验证、维护这份 POC 档案需要不少投入，因此本地快照已纳入付费订阅。您的订阅是让这份资料能继续走下去的关键，由衷感谢。 查看订阅方案 →