Jackson公告反序列化远程代码执行漏洞，腾讯云防火墙支持检测和拦截

admin
admin
admin
139164
文章
114
评论
2020年8月27日17:35:19评论268 views字数 656阅读2分11秒阅读模式


1

漏洞描述


FasterXML Jackson公告了新的高危漏洞（漏洞编号：CVE-2020-24616），其官方团队发布了 jackson-databind 的新版本 2.9.10.6，修复了几个反序列化漏洞。


FasterXML jackson-databind 2.9.10.6之前的版本中存在安全漏洞，该漏洞源于不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统执行任意代码。


FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。


2漏洞等级


中危


3

受影响的版本


jackson-databind < 2.9.10.6



4

安全版本


jackson-databind >= 2.9.10.6


5

漏洞修复方案



a.腾讯安全专家建议用户将jackson-databind组件升级到安全版本。

https://github.com/FasterXML/jackson-databind/releases


b.在Jackson 2.10 中引入了Safe Default Typing白名单机制，可杜绝此类gadget的影响。


6

腾讯安全解决方案


腾讯T-Sec云防火墙规则库日期2020-08-27之后的版本，已支持对Jackson反序列化远程代码执行漏洞的检测和拦截。


关于腾讯T-Sec云防火墙的更多信息，可长按识别以下二维码查阅。

Jackson公告反序列化远程代码执行漏洞，腾讯云防火墙支持检测和拦截


参考链接

https://nvd.nist.gov/vuln/detail/CVE-2020-24616

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2020年8月27日17:35:19
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   Jackson公告反序列化远程代码执行漏洞，腾讯云防火墙支持检测和拦截https://cn-sec.com/archives/104791.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息