Fasterxml | Jackson 多个反序列化漏洞

  • A+
所属分类:安全文章


0x00 漏洞概述

编   号

issue:2798、issue:2814、issue:2826、issue:2827

时    间

2020-08-27

类   型


等    级

高危

远程利用

影响范围

jackson-databind  < 2.9.10.6

        

Fasterxml主要用于Java 平台的数据分析。jackson-databind是FasterXML项目下的JSON库。

Fasterxmljackson-databind 2.9.10.6之前的版本中存在多个反序列化漏洞,攻击者可通过精心构造的payload在系统上执行恶意代码,Jackson是SpringBoot中首选和默认的转换工具。


0x01 漏洞详情

Fasterxml | Jackson 多个反序列化漏洞

  

issue:2798

该问题是由于com.pastdev.httpcomponents:configuration 组件库存在不安全的反序列化。

issue:2814

该问题是由于br.com.anteros:Anteros-DBCP 组件库存在不安全的反序列化,已分配CVE编号:CVE-2020-24616。

issue:2826

该问题是由于com.nqadmin.rowset:jdbcrowsetimpl 组件库存在不安全的反序列化。

issue:2827

该问题是由于org.arrahtec:profiler-core 组件库存在不安全的反序列化。


0x02 处置建议

升级到最新的版本,如暂时无法升级,建议禁止互联网访问反序列化接口。


0x03 相关新闻


0x04 参考链接

https://github.com/Fasterxml/jackson-databind/issues/2798

https://github.com/FasterXML/jackson-databind/issues/2814

https://github.com/Fasterxml/jackson-databind/issues/2826

https://github.com/Fasterxml/jackson-databind/issues/2827


0x05 时间线

2020-08-27 VSRC发布漏洞通告

 

 



发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: