FasterXML Jackson-databind远程代码执行缝隙安全公告

颁布功夫 2019-07-23

缝隙编号和级别


CVE编号： ：：CVE-2019-12384，，危险级别： ：：中危，，CVSS分值： ：：5.9 


影响版本


受影响的版本


FasterXML jackson-databind 2.0.0 – 2.9.9


缝隙概述


FasterXML Jackson是美国FasterXML公司的一款合用于Java的数据处置工具�！ackson-databind是其中的一个具罕见据绑定职能的组件�！�


Jackson-databind可能允许攻击者通过利用无法阻止logback-core类进行多态反序列化而产生各类影响�！Ｆ揪堇圊杈赌谌�，，能够造成远程代码执行�！�


缝隙验证


POC： ：：https://blog.doyensec.com/2019/07/22/jackson-gadgets.html�！�


修复建议


目前厂商已颁布升级补丁以修复缝隙，，补丁获取链接： ：：https://github.com/FasterXML/jackson-databind/commit/c9ef4a10d6f6633cf470d6a469514b68fa2be234�！� 


缓解措施： ：：


此缝隙依赖于利用法式的ClassPath中存在的logback-core(ch.qos.logback.core)�！Ｖ粘∈褂么嬖趌ogback-core的jackson-databind利用法式可预防此缝隙的影响�！�


参考链接


http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201906-867