Crítica

Hessian protocol configuration vulnerability in Apache Dubbo

Publicada: 08.09.2021
Actualizado: 11.10.2026 11:21

In Apache Dubbo, users may choose to use the Hessian protocol. The Hessian protocol is implemented on top of HTTP and passes the body of a POST request directly to a HessianSkeleton: New HessianSkeleton are created without any configuration of the serialization factory and therefore without applying the dubbo properties for applying allowed or blocked type lists. In addition, the generic service is always exposed and therefore attackers do not need to figure out a valid service/method name pair. This is fixed in 2.7.13, 2.6.10.1

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.apache.dubbo:dubbo	>= 2.7.0, < 2.7.13, < 2.6.10.1	2.7.13, 2.6.10.1

Referencias

Puntuación CVSS 9.8/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE): CWE-502
Plataforma: Java / Kotlin (Maven)
Paquete: org.apache.dubbo:dubbo
Publicada: 08.09.2021
Actualizado: 11.10.2026 11:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-cpx9-4rwv-486v - CC BY 4.0

Historial de vulnerabilidades: org.apache.dubbo:dubbo

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (16) en el archivo

Entradas en total: 16
Primera → última: 09.2021 12.2023
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 13
Alta 1
Media 2

Divulgaciones por año

2021: 4
2022: 9
2023: 3
2024: 0
2025: 0
2026: 0

15.12.2023

Bypass serialize checks in Apache Dubbo

Crítica · 9.8 CVE-2023-29234 >= 3.1.0, < 3.1.11, >= 3.2.0, < 3.2.5 3.1.11, 3.2.5
15.12.2023

Apache Dubbo: Bypass deny serialize list check in Apache Dubbo

Crítica · 9.8 CVE-2023-46279 >= 3.1.5, < 3.1.6 3.1.6
08.03.2023

Apache Dubbo vulnerable to Deserialization of Untrusted Data

Crítica · 9.8 CVE-2023-23638 < 2.7.22, >= 3.0.0, < 3.0.13, >= 3.1.0, < 3.1.5 2.7.22, 3.0.13, 3.1.5
19.10.2022

Hessian Lite for Apache Dubbo deserialization vulnerability

Crítica · 9.8 CVE-2022-39198 >= 2.7.0, < 2.7.18, >= 3.0.0, < 3.0.12, >= 3.1.0, < 3.1.1 2.7.18, 3.0.12, 3.1.1
18.03.2022

Code injection in Apache Dubbo

Crítica · 9.8 CVE-2021-30180 >= 2.7.0, < 2.7.10 2.7.10
18.03.2022

Deserialization of Untrusted Data in Apache Dubbo

Crítica · 9.8 CVE-2021-30179 >= 2.5.0, < 2.7.10 2.7.10
18.03.2022

Code injection in Apache Dubbo

Crítica · 9.8 CVE-2021-30181 >= 2.5.0, < 2.7.10 2.7.10
18.03.2022

Deserializer tampering in Apache Dubbo

Crítica · 9.8 CVE-2021-25641 >= 2.5.0, < 2.7.8 2.7.8
10.02.2022

Deserialization of Untrusted Data in Apache Dubbo

Crítica · 9.8 CVE-2020-1948 < 2.7.7 2.7.7
12.01.2022

Deserialization of Untrusted Data in Dubbo

Crítica · 9.8 CVE-2021-43297 >= 2.6.0, < 2.6.12, >= 2.7.0, < 2.7.15, >= 3.0.0, < 3.0.5 2.6.12, 2.7.15, 3.0.5
10.09.2021

Security check skip in Apache Dubbo

Crítica · 9.8 CVE-2021-37579 < 2.7.13, >= 3.0.0, < 3.0.2 2.7.13, 3.0.2
10.09.2021

Remote Code Execution in Apache Dubbo

Crítica · 9.8 CVE-2021-36161 < 2.7.13 2.7.13
08.09.2021

Remote Code Execution in Apache Dubbo

Alta · 8.8 CVE-2021-36162 < 2.7.13, >= 3.0.0, < 3.0.2 2.7.13, 3.0.2
08.09.2021

Hessian protocol configuration vulnerability in Apache Dubbo esta entrada

Crítica · 9.8 CVE-2021-36163 >= 2.7.0, < 2.7.13, < 2.6.10.1 2.7.13, 2.6.10.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación