? ? ? ? 公司在升級dubbo過程中因zookeeper版本不匹配，導(dǎo)致服務(wù)注冊和調(diào)用出現(xiàn)異常
一、漏洞詳情
Apache Dubbo是一款高性能、輕量級的開源Java服務(wù)框架。
Apache官方發(fā)布安全公告，修復(fù)了Apache Dubbo中的一個反序列化漏洞（CVE-2023-23638）。由于Apache Dubbo安全檢查存在缺陷，導(dǎo)致可以繞過反序列化安全檢查并執(zhí)行反序列化攻擊，成功利用該漏洞可在目標(biāo)系統(tǒng)上執(zhí)行任意代碼。
建議受影響用戶做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。
二、影響范圍
Apache Dubbo 2.7.x?版本：<= 2.7.21
Apache Dubbo 3.0.x?版本：<= 3.0.13
Apache Dubbo 3.1.x?版本：<= 3.1.5
三、修復(fù)建議
目前該漏洞已經(jīng)修復(fù)，受影響用戶可升級到以下版本：
Apache Dubbo?版本：>= 2.7.22
Apache Dubbo?版本：>= 3.0.14
Apache Dubbo?版本：>= 3.1.6
四、以上漏斗如果注冊中心選用的還是zookeeper，那么zk也需要對應(yīng)的進行升級否則可能會導(dǎo)致服務(wù)提供者和消費者無法注冊和獲取服務(wù)列表
例：dubbo2.7.x升級至2.7.23相關(guān)maven以來所需版本
https://mvnrepository.com/artifact/org.apache.dubbo/dubbo/2.7.23
依賴jar包所需版本：（注意：zookeeper相關(guān)以來可以點進去）?
?
? ?進入org.apache.dubbo???dubbo-remoting-zookeeper?（如果zk低于最低版本會導(dǎo)致dubbo服務(wù)注冊和調(diào)用異常）
五、關(guān)聯(lián)資料?
?1.?關(guān)于Apache Dubbo反序列化漏洞（CVE-2023-23638）的預(yù)警提示文章來源：http://www.zghlxwxcb.cn/news/detail-552555.html
?2.?Dubbo2.7.22相關(guān)依賴和版本（zk相關(guān)請繼續(xù)點擊查看）文章來源地址http://www.zghlxwxcb.cn/news/detail-552555.html
到了這里，關(guān)于關(guān)于Apache Dubbo反序列化漏洞（CVE-2023-23638）的預(yù)警提示與對應(yīng)的Zookeeper版本的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
