Политика безопасности

Отчет о уязвимости

Если у вас есть опасения относительно безопасности SOFAStack или вы обнаружили уязвимость или потенциальную угрозу, не стесняйтесь связаться с нами, отправив письмо на адрес sofastack@antgroup.com.

В письме укажите описание проблемы или потенциальной угрозы. Также рекомендуется указать способ воспроизведения и повторения проблемы. Сообщество SOFAStack ответит вам после анализа и рассмотрения представленной информации.

ПОЖАЛУЙСТА, ВНИМАТЕЛЬНО: сообщайте о проблемах безопасности на специальный электронный адрес до того, как раскрывать их в открытом доступе.

Решение

SOFARPC использует сериализацию Hessian по умолчанию. Hessian — это протокол двоичной сериализации. Для получения более подробной информации обратитесь к документации Hessian.

Из-за реализации Hessian при создании специального потока сериализации может произойти выполнение произвольного кода при десериализации. Рекомендуется пользователям конфигурировать черный список для решения этой проблемы.

SOFARPC также предоставляет возможность конфигурирования черного списка через BlackListFileLoader. Вы можете переопределить конфигурацию черного списка на основе кода.Чёрный список, встроенный в проект, основан на внутренних практиках и внешних вкладах, является справочной информацией и не активно обновляется. Мы не несём никакой юридической ответственности за эту информацию.