FasterXML/jackson-databind远程代码执行缝隙风险公告

颁布功夫 2020-03-03

缝隙编号和级别


CVE编号：CVE-2020-9547，，，，，，， ，危险级别：中危，，，，，，， ，CVSS分值：官方未评定

CVE编号：CVE-2020-9548，，，，，，， ，危险级别：中危，，，，，，， ，CVSS分值：官方未评定


影响版本


FasterXML/jackson-databind


1. 项目中还使用了Anteros-Core和ibatis-sqlmap组件。 。。。。。。

2. jackson-databind使用2.10.0之前的版本。 。。。。。。


缝隙概述


jackson-databind 是从属 FasterXML 项目组下的JSON处置库。 。。。。。。近日，，，，，，， ，安全钻研者向FasterXML提交了两个gadget，，，，，，， ，可用作jackson-databind的远程代码执杏祝 。。。。。。


两个gadget别离是 Anteros-Core和ibatis-sqlmap。 。。。。。。缝隙的主题原因是 Anteros-Core和ibatis-sqlmap中存在特殊的利用链允许用户触发 JNDI 远程类加载操作。 。。。。。。


该缝隙影响jackson-databind对 JSON 文本的处置流程。 。。。。。。攻击者利用特造的要求能够触发远程代码执行，，，，，，， ，攻击成功可获得服务器的节造权限（Web服务等级）。 。。。。。。


缝隙验证


暂无PoC/EXP。 。。。。。。


建复建议


更新jackson-databind到最新版本：https://github.com/FasterXML/jackson/wiki/Jackson-Release-2.10。 。。。。。。


缓解措施：排查项目中是否使用Anteros-Core和ibatis-sqlmap，，，，，，， ，将 Anteros-Core和ibatis-sqlmap移除能够缓解缝隙所带来的影响。 。。。。。。


参考链接


https://github.com/FasterXML/jackson-databind/issues/2634