CVE-2021-37579
Vulnérabilité non évaluée dans Apache Dubbo (Apache Software Foundation)
CVSS 0.0 · Non évaluée
EPSS 6.6%
Apache Software Foundation•Apache Dubbo•Versions : Apache Dubbo 3.0.x, Apache Dubbo 2.7.x, <=2.7.12, <=3.0.1
Description
The Dubbo Provider will check the incoming request and the corresponding serialization type of this request meet the configuration set by the server. But there's an exception that the attacker can use to skip the security check (when enabled) and reaching a deserialization operation with native java serialization. Apache Dubbo 2.7.13, 3.0.2 fixed this issue by quickly fail when any unrecognized request was found.
Gravité et risque d'exploitation
CVE-2021-37579 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 6.56 %, ce qui la place devant 93.7 % des CVE référencées.
Que faire ?
- Vérifiez si Apache Dubbo (versions Apache Dubbo 3.0.x, Apache Dubbo 2.7.x, <=2.7.12, <=3.0.1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.