Jackson多个反序列化安全漏洞示例分析
本篇文章给大家分享的是有关Jackson 多个反序列化安全漏洞示例分析,小编觉得挺实用的,因此分享给大家学习,希望大家阅读完这篇文章后可以有所收获,话不多说,跟着小编一起来看看吧。
让客户满意是我们工作的目标,不断超越客户的期望值来自于我们对这个行业的热爱。我们立志把好的技术通过有效、简单的方式提供给客户,将通过不懈努力成为客户在信息化领域值得信任、有价值的长期合作伙伴,公司提供的服务项目有:域名申请、网站空间、营销软件、网站建设、阿坝州网站维护、网站推广。
0x01 漏洞简述
2020年08月27日,360CERT监测发现 jackson-databind
发布了 jackson-databind 序列化漏洞
的风险通告,该漏洞编号为 CVE-2020-24616
,漏洞等级:高危
,漏洞评分:7.5
。
br.com.anteros:Anteros-DBCP
中存在新的反序列化利用链,可以绕过 jackson-databind
黑名单限制,远程攻击者通过向使用该组件的web服务接口发送特制请求包,可以造成 远程代码执行
影响。
对此,360CERT建议广大用户及时将 jackson-databind
升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
评定方式 | 等级 |
---|---|
威胁等级 | 高危 |
影响面 | 有限 |
360CERT评分 | 7.5 |
0x03 漏洞详情
CVE-2020-24616: jackson-databind 反序列化漏洞
br.com.anteros:Anteros-DBCP
中存在新的反序列化利用链,可以绕过 jackson-databind
黑名单限制,远程攻击者通过向使用该组件的web服务接口发送特制请求包,可以造成 远程代码执行
影响。
jackson-databind Release 2.9.10.6
在该版本中还修复了下述利用链
- org.arrahtec:profiler-core
- com.nqadmin.rowset:jdbcrowsetimpl
- com.pastdev.httpcomponents:configuration
上述 package 中存在新的反序列化利用链,可以绕过 jackson-databind
黑名单限制,远程攻击者通过向使用该组件的web服务接口发送特制请求包,可以造成 远程代码执行
影响。
0x04 影响版本
- fasterxml:jackson-databind
: <2.9.10.6
0x05 修复建议
通用修补建议
升级到 jackson-databind 2.9.10.6
以上就是Jackson 多个反序列化安全漏洞示例分析,小编相信有部分知识点可能是我们日常工作会见到或用到的。希望你能通过这篇文章学到更多知识。更多详情敬请关注创新互联行业资讯频道。
文章标题:Jackson多个反序列化安全漏洞示例分析
文章网址:http://ybzwz.com/article/piigis.html