漏洞描述
XXL-RPC是一個基于Netty和Hessian的分布式遠程調用框架。Hessian是在Java應用程序中進行對象序列化和反序列化的二進制序列化協議。
XXL-PRC中通過Hessian2Input.readObject反序列化用戶輸入數據，并依賴了存在漏洞的Caucho Hessian協議實現。
攻擊者可能利用該特性，向存在漏洞的RPC server發送惡意數據，執行任意代碼。
| 漏洞名稱 | XXL-RPC 任意代碼執行操作 |
|---|---|
| 漏洞類型 | 反序列化 |
| 發現時間 | 2023-10-18 |
| 漏洞影響廣度 | 一般 |
| MPS編號 | MPS-lv03-dtjx |
| CVE編號 | CVE-2023-45146 |
| CNVD編號 | - |
影響范圍
com.xuxueli:xxl-rpc@(-∞, 1.7.0]
修復方案
1、避免RPC服務直接對外暴露 2、在JVM啟動命令中添加：-Djava.rmi.server.useCodebaseOnly=true。限制遠程類加載
參考鏈接
https://www.oscs1024.com/hd/MPS-lv03-dtjx
https://securitylab.github.com/advisories/GHSL-2023-052_XXL-RPC/
https://github.com/xuxueli/xxl-rpc
????
免費情報訂閱&代碼安全檢測
OSCS是國內首個開源軟件供應鏈安全社區，社區聯合開發者幫助全球頂級開源項目解決安全問題，并提供實時的安全漏洞情報，同時提供專業的代碼安全檢測工具為開發者免費使用。社區開發者可以通過配置飛書、釘釘、企業微信機器人獲取一手的情報。
免費代碼安全檢測工具： https://www.murphysec.com/?src=osc
免費情報訂閱： https://www.oscs1024.com/cm/?src=osc
具體訂閱方式詳見： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
