Apache Seata Hessian反序列化漏洞

北京赛克艾威科技有限公司 2024-09-16

漏洞编号：CVE-2024-22399
漏洞等级：严重
漏洞标签：发布预警、公开漏洞
发布时间：2024-09-16

漏洞描述

Apache Seata\(incubating\) 是一款开源的分布式事务解决方案，用于在微服务架构下提供高性能和简单易用的分布式事务服务。 Seata用于服务端与客户端通信的RPC协议（默认8091端口）以及2.0.0开始实现的Raft协议消息均支持hessian格式，在2.1.0及1.8.1版本之前的Hessian反序列化操作校验不严格，自身安全校验HessianSerializerFactory只作用于serialize序列化过程。攻击者可通过向Seata服务端发送恶意的hessian格式RPC数据，通过SwingLazyValue等利用链反序列化执行任意代码。

修复建议

1. 将组件 seata 升级至 2.1.0 及以上版本 2. 将组件 seata 升级至 1.8.1 及以上版本 3. 将组件 org.apache.seata:seata-core 升级至 1.8.1 及以上版本 4. 将组件 org.apache.seata:seata-core 升级至 2.1.0 及以上版本 5. 将组件 io.seata:seata-serializer-hessian 升级至 2.1.0 及以上版本 6. 将组件 io.seata:seata-serializer-hessian 升级至 1.8.1 及以上版本