CVE-2021-30179

Versões do Apache Dubbo anteriores à 2.6.9 e à 2.7.9

A vulnerabilidade permite chamadas genéricas a métodos arbitrários expostos pelas interfaces de provedores. Essas invocações são tratadas pelo GenericFilter, que utiliza a API Java Reflection para efetuar a chamada final. Os métodos invoke ou invokeAsync possuem uma assinatura que inclui o nome do método, os tipos de parâmetros e os argumentos reais da chamada. Um invasor pode controlar o anexo RPC, definindo-o como nativejava para forçar a desserialização Java de uma matriz de bytes, o que pode levar à exploração.

Para versões do Apache Dubbo anteriores à 2.6.9, atualize para a versão 2.6.9 ou posterior.

Para versões do Apache Dubbo anteriores à 2.7.9, atualize para a versão 2.7.9 ou posterior.

Como solução alternativa temporária, considere restringir os valores do anexo RPC para impedir que seja definido como nativejava até que um patch esteja disponível.