Jackson多个反序列化安全漏洞示例分析

本篇文章给大家分享的是有关Jackson 多个反序列化安全漏洞示例分析,小编觉得挺实用的,因此分享给大家学习,希望大家阅读完这篇文章后可以有所收获,话不多说,跟着小编一起来看看吧。

让客户满意是我们工作的目标,不断超越客户的期望值来自于我们对这个行业的热爱。我们立志把好的技术通过有效、简单的方式提供给客户,将通过不懈努力成为客户在信息化领域值得信任、有价值的长期合作伙伴,公司提供的服务项目有:域名申请网站空间、营销软件、网站建设、阿坝州网站维护、网站推广。

0x01 漏洞简述

2020年08月27日,360CERT监测发现 jackson-databind 发布了 jackson-databind 序列化漏洞 的风险通告,该漏洞编号为 CVE-2020-24616 ,漏洞等级:高危,漏洞评分:7.5

br.com.anteros:Anteros-DBCP 中存在新的反序列化利用链,可以绕过 jackson-databind 黑名单限制,远程攻击者通过向使用该组件的web服务接口发送特制请求包,可以造成 远程代码执行 影响。

对此,360CERT建议广大用户及时将 jackson-databind 升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式等级
威胁等级高危
影响面有限
360CERT评分7.5

0x03 漏洞详情

CVE-2020-24616: jackson-databind 反序列化漏洞

br.com.anteros:Anteros-DBCP 中存在新的反序列化利用链,可以绕过 jackson-databind 黑名单限制,远程攻击者通过向使用该组件的web服务接口发送特制请求包,可以造成 远程代码执行 影响。

jackson-databind Release 2.9.10.6

在该版本中还修复了下述利用链

- org.arrahtec:profiler-core

- com.nqadmin.rowset:jdbcrowsetimpl

- com.pastdev.httpcomponents:configuration

上述 package 中存在新的反序列化利用链,可以绕过 jackson-databind 黑名单限制,远程攻击者通过向使用该组件的web服务接口发送特制请求包,可以造成 远程代码执行 影响。

0x04 影响版本

- fasterxml:jackson-databind: <2.9.10.6

0x05 修复建议

通用修补建议

升级到 jackson-databind 2.9.10.6

以上就是Jackson 多个反序列化安全漏洞示例分析,小编相信有部分知识点可能是我们日常工作会见到或用到的。希望你能通过这篇文章学到更多知识。更多详情敬请关注创新互联行业资讯频道。


文章标题:Jackson多个反序列化安全漏洞示例分析
文章网址:http://ybzwz.com/article/piigis.html