每周升级布告-2022-01-11

颁布功夫 2022-01-12

新增事务


事务名称：

TCP_代码执行_Dubbo反序列化_远程代码执行缝隙[CVE-2021-30179]

安全类型：

安全缝隙

事务描述：

检测到源ip在利用Dubbo的GenericFilter接口的反序列化远程号令执行缝隙对主张主机进行攻击的行为。。。。。。ApacheDubbo是一个散布式框架， ，，，，致力于提供高机能通明化的RPC远程服务挪用规划， ，，，，以及SOA服务治理规划。。。。。。ApacheDubbo在现实利用场景中重要掌管解决散布式的有关需要。。。。。。

更新功夫：

20220111

 

事务名称：

HTTP_安全缝隙_ApiSix_肆意代码执行[CVE-2021-45232][CNNVD-202112-2629]

安全类型：

安全缝隙

事务描述：

在2.10.1之前的ApacheAPISIXDashboard中， ，，，，ManagerAPI使用两个框架并在基础上引入`droplet`和`gin`两个框架， ，，，，开发所有API和认证中央件基于框架`droplet`， ，，，，但部门API直接使用接口`gin`框架未进行droplet认证， ，，，，从而能够未授权接见。。。。。。并且， ，，，，在出格的蹊径下， ，，，，存在被攻击者执行肆意lua代码的风险。。。。。。

更新功夫：

20220111


批改事务


事务名称：

HTTP_可疑行为_Fastjson缝隙_hex编码利用

安全类型：

可疑行为

事务描述：

FastJson是阿里巴巴的开源JSON解析库， ，，，，它能够解析JSON体式的字符串， ，，，，支持将JavaBean序列化为JSON字符串， ，，，，也能够从JSON字符串反序列化到JavaBean， ，，，，由于拥有执行效能高的特点， ，，，，利用领域很广。。。。。。攻击成功， ，，，，可远程执行肆意代码。。。。。。fastjson可接受并解析hex编码内容， ，，，，因而攻击者可利用hex编码绕过检测设备。。。。。。

更新功夫：

20220111