CVE-2021-43297 Apache Dubbo Hessian-Lite 反序列化漏洞

概述

影响版本

[2.7.0, 2.7.12]、[3.0.0, 3.0.1]

复现分析

直接定位到补丁的 commit ，移除了直接对象打印，我们知道 bean 对象输出时会直接调用其 toString() 方法，在 commit 修改的方法中有一个 com.alibaba.com.caucho.hessian.io.Hessian2Input#expect() 我们可以看到被用于 Hessian2Input 类的各个 read 方法中异常抛出时调用。所以我们可以用 toString() 触发 sink 方法的 Hessian 调用链进行攻击。

而该方法是在没找到对应序列化 tag 时进入 default 分支中被调用，所以这个洞的实际利用还是构造特殊的 Hessian 序列化数据，关于这部分的详细分析可以参考 bitterzzZZ师傅的分析就不赘述，继续跟一下在 2.7.9 后不能利用的绕过的原因，在 org.apache.dubbo.remoting.exchange.codec.ExchangeCodec#decodeEventData() 方法中，字节数组长度大于 50 抛出异常。