jackson-databind 发布了 jackson-databind 序列化漏洞 的风险通告，该漏洞编号为 CVE-2020-24616 ，漏洞等级： 高危 ，漏洞评分： 7.5。br.com.anteros:Anteros-DBCP 中存在新的反序列化利用链，可以绕过 jackson-databind黑名单限制，远程攻击者通过向使用该组件的web服务接口发送特制请求包，可以造成 远程代码执行 影响jackson-databind 升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。| 评定方式 | 等级 |
|
|
|
|
|
|
|
|
|
CVE-2020-24616: jackson-databind 反序列化漏洞
br.com.anteros:Anteros-DBCP 中存在新的反序列化利用链，可以绕过 jackson-databind黑名单限制，远程攻击者通过向使用该组件的web服务接口发送特制请求包，可以造成 远程代码执行 影响。jackson-databind Release 2.9.10.6
-
org.arrahtec:profiler-core
-
com.nqadmin.rowset:jdbcrowsetimpl
-
com.pastdev.httpcomponents:configuration
jackson-databind 黑名单限制，远程攻击者通过向使用该组件的web服务接口发送特制请求包，可以造成 远程代码执行 影响。-
fasterxml:jackson-databind: <2.9.10.6
通用修补建议
360安全分析响应平台
-
Block one more gadget type (Anteros-DBCP, CVE-2020-24616) #2814 -
jackson-databind 2.9.10.6 commits -
com.pastdev.httpcomponents #2798 -
com.nqadmin.rowset:jdbcrowsetimpl #2826 -
org.arrahtec:profiler-core #2827
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论