FasterXML Jackson 发布新的cve漏洞

作者：

发布时间：2020-08-27

近日，FasterXML Jackson 发布了新的cve漏洞（漏洞编号：CVE-2020-24616）同时其官方团队发布了 jackson-databind 的新版本 2.9.10.6，其中修复了以下反序列化漏洞，对应issue编号：#2827 , #2826, #2798。

FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。

FasterXML jackson-databind 2.9.10.6之前的版本中存在安全漏洞，该漏洞源于进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷通过利用该漏洞在系统上执行任意代码。

为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

漏洞详情

FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。Jackson是SpringBoot中首选和默认的转换工具。

该漏洞源于Jackson 上使用

br.com.anteros:Anteros-DBCP 组件库进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统上执行任意代码。

该漏洞源于Jackson 上使用

org.arrahtec:profiler-core 组件库进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统上执行任意代码。

该漏洞源于Jackson 上使用

com.nqadmin.rowset:jdbcrowsetimpl 组件库进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统上执行任意代码。

该漏洞源于Jackson 上使用

com.pastdev.httpcomponents:configuration 组件库进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷该漏洞在系统上执行任意代码。

风险等级

中风险

漏洞风险

远程攻击者可借助特制的输入利用该漏洞在系统上执行任意代码。

影响版本

修复版本

修复建议

官方已发布新版本修复该漏洞，建议您：

1. 推荐方案：升级到jackson-databind 2.9.10.6 或更高版本；

2. 在Jackson 2.10 中引入了Safe Default Typing白名单机制，可杜绝此类gadget的影响；

3. 如暂时无法升级，作为缓解措施，建议不要将有反序列化接口暴露在外网；

标签：

最新资讯: 企业级网络防火墙可以防护哪些方面?; 企业网络等保测评必须要做吗-企业网络等保测评的必要性分析; 云安全环境加固需要哪些措施？; 网络安全隔离设备有哪些; 网站被挂马怎么解决; web应用防火墙怎么部署?; 网络安全审计系统有哪些功能?多少钱?; 服务器卡顿动不了怎么解决; 网站中木马被反复篡改的彻底修复方法; 服务器被篡改登录不上怎么办？