近日，腾讯安全团队监控到 FasterXML Jackson 发布了新的cve漏洞（漏洞编号：CVE-2020-24616）同时腾讯安全团队监控到其官方团队发布了 jackson-databind 的新版本 2.9.10.6，其中修复了以下反序列化漏洞，对应issue编号：#2827 , #2826, #2798。
FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。
FasterXML jackson-databind 2.9.10.6之前的版本中存在安全漏洞，该漏洞源于进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷通过利用该漏洞在系统上执行任意代码。
为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。
FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。Jackson是SpringBoot中首选和默认的转换工具。
该漏洞源于Jackson 上使用
br.com.anteros:Anteros-DBCP 组件库进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统上执行任意代码。
该漏洞源于Jackson 上使用
org.arrahtec:profiler-core 组件库进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统上执行任意代码。
该漏洞源于Jackson 上使用
com.nqadmin.rowset:jdbcrowsetimpl 组件库进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统上执行任意代码。
该漏洞源于Jackson 上使用
com.pastdev.httpcomponents:configuration 组件库进行了不安全的反序列化。远程攻击者可通过精心构造的恶意载荷该漏洞在系统上执行任意代码。
远程攻击者可借助特制的输入利用该漏洞在系统上执行任意代码。
1. 推荐方案：升级到jackson-databind 2.9.10.6 或更高版本；
2. 在Jackson 2.10 中引入了Safe Default Typing白名单机制，可杜绝此类gadget的影响；
3. 如暂时无法升级，作为缓解措施，建议不要将有反序列化接口暴露在外网；
4. 推荐企业用户采取腾讯T-Sec Web应用防火墙检测并拦截Jackson反序列化漏洞的攻击。
腾讯安全解决方案——腾讯T-Sec Web应用防火墙
*文章为作者独立观点，不代表 爱尖刀 立场
本文由
腾讯云安全发表，转载此文章须经作者同意，并请附上出处(
爱尖刀 )及本页链接。
原文链接 https://www.ijiandao.com/2b/baijia/378440.html
腾讯云安全
关注网络尖刀微信公众号
