Fasterxml | Jackson 多个反序列化漏洞
发布时间 2020-08-270x00 漏洞概述
编号 | issue:2798、issue:2814、issue:2826、issue:2827 | 时间 | 2020-08-27 |
类型 | 等级 | 高危 | |
远程利用 | 是 | 影响范围 | jackson-databind < 2.9.10.6 |
Fasterxml主要用于Java 平台的数据分析。jackson-databind是FasterXML项目下的JSON库。
Fasterxml jackson-databind 2.9.10.6之前的版本中存在多个反序列化漏洞，攻击者可通过精心构造的payload在系统上执行恶意代码，Jackson是SpringBoot中首选和默认的转换工具。
0x01 漏洞详情
issue:2798
该问题是由于com.pastdev.httpcomponents:configuration 组件库存在不安全的反序列化。
issue:2814
该问题是由于br.com.anteros:Anteros-DBCP 组件库存在不安全的反序列化，已分配CVE编号：CVE-2020-24616。
issue:2826
该问题是由于com.nqadmin.rowset:jdbcrowsetimpl 组件库存在不安全的反序列化。
issue:2827
该问题是由于org.arrahtec:profiler-core 组件库存在不安全的反序列化。
0x02 处置建议
升级到最新的版本，如暂时无法升级，建议禁止互联网访问反序列化接口。
0x03 相关新闻
0x04 参考链接
https://github.com/Fasterxml/jackson-databind/issues/2798
https://github.com/FasterXML/jackson-databind/issues/2814
https://github.com/Fasterxml/jackson-databind/issues/2826
https://github.com/Fasterxml/jackson-databind/issues/2827
0x05 时间线
2020-08-27 VSRC发布漏洞通告
京公网安备11010802024551号