Jackson公告反序列化远程代码执行漏洞，腾讯云防火墙支持检测和拦截

1

漏洞描述

FasterXML Jackson公告了新的高危漏洞（漏洞编号：CVE-2020-24616），其官方团队发布了 jackson-databind 的新版本 2.9.10.6，修复了几个反序列化漏洞。

FasterXML jackson-databind 2.9.10.6之前的版本中存在安全漏洞，该漏洞源于不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统执行任意代码。

FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。

2漏洞等级

中危

3

受影响的版本

jackson-databind < 2.9.10.6

4

安全版本

jackson-databind >= 2.9.10.6

5

漏洞修复方案

a.腾讯安全专家建议用户将jackson-databind组件升级到安全版本。

https://github.com/FasterXML/jackson-databind/releases

b.在Jackson 2.10 中引入了Safe Default Typing白名单机制，可杜绝此类gadget的影响。

6

腾讯安全解决方案

腾讯T-Sec云防火墙规则库日期2020-08-27之后的版本，已支持对Jackson反序列化远程代码执行漏洞的检测和拦截。

关于腾讯T-Sec云防火墙的更多信息，可长按识别以下二维码查阅。

参考链接

https://nvd.nist.gov/vuln/detail/CVE-2020-24616