FasterXML/jackson-databind远程代码执行误差危害通告

宣布时间 2020-03-03

误差编号和级别


CVE编号：CVE-2020-9547，，，危险级别：中危，，，CVSS分值：官方未评定

CVE编号：CVE-2020-9548，，，危险级别：中危，，，CVSS分值：官方未评定


影响版本


FasterXML/jackson-databind


1. 项目中还使用了Anteros-Core和ibatis-sqlmap组件。。。

2. jackson-databind使用2.10.0之前的版本。。。


误差概述


jackson-databind 是隶属 FasterXML 项目组下的JSON处置惩罚库。。。克日，，，清静研究者向FasterXML提交了两个gadget，，，可用作jackson-databind的远程代码执行。。。


两个gadget划分是 Anteros-Core和ibatis-sqlmap。。。误差的焦点缘故原由是 Anteros-Core和ibatis-sqlmap中保存特殊的使用链允许用户触发 JNDI 远程类加载操作。。。


该误差影响jackson-databind对 JSON 文本的处置惩罚流程。。。攻击者使用特制的请求可以触发远程代码执行，，，攻击乐成可获得效劳器的控制权限（Web效劳品级）。。。


误差验证


暂无PoC/EXP。。。


修复建议


更新jackson-databind到最新版本：https://github.com/FasterXML/jackson/wiki/Jackson-Release-2.10。。。


缓解步伐：排查项目中是否使用Anteros-Core和ibatis-sqlmap，，，将 Anteros-Core和ibatis-sqlmap移除可以缓解误差所带来的影响。。。


参考链接


https://github.com/FasterXML/jackson-databind/issues/2634