九游老哥云
Jackson框架Java反序列化远程代码执行误差
2017-04-18
北京时间4月15日 ，Jackson框架被发明保存一个反序列化代码执行误差。该误差保存于Jackson框架下的enableDefaultTyping要领 ，通过该误差 ，攻击者可以远程在服务器主机上越权执行恣意代码 ，从而取得该网站服务器的控制权。
Jackson是一个开源的Java序列化与反序列化工具 ，可以将java工具序列化为xml或json名堂的字符串 ，或者反序列化回对应的工具 ，由于其使用简朴 ，速率较快 ，且不依赖除JDK外的其他库 ，被众多用户所使用。Jackson官方已经宣布补丁修复了该开源组件。
相关地点：
http://www.cnvd.org.cn/flaw/show/CNVD-2017-04483
https://github.com/FasterXML/jackson-databind/issues/1599
受影响的版本
- Jackson Version 2.7.* < 2.7.10
- Jackson Version 2.8.* < 2.8.9
不受影响的版本
- Jackson Version 2.7.10
- Jackson Version 2.8.9
注：
阻止到该报告宣布时 ，官方还没有正式宣布上述新版本 ，请用户一连关注并在新版本宣布时实时更新升级。
规避计划
- Jackson官方即将宣布新版本修复该误差 ，请使用受影响版本组件的用户尽快更新Jackson的jar包升级到不受影响的版本。
请参考链接：
https://github.com/FasterXML/jackson-databind/issues/1599
- 由于官方还没有正式宣布不受影响的新版本 ，用户可以手动修改7.* ，2.8.*以及master分支的代码来防护该误差：
详细操作请参考链接：
https://github.com/FasterXML/jackson-databind/commit/fd8dec2c7fab8b4b4bd60502a0f1d63ec23c24da
声 明
本清静通告仅用来形貌可能保存的清静问题 ，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失 ，均由使用者自己认真 ，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告 ，必需包管此清静通告的完整性 ，包括版权声明等所有内容。未经九游老哥科技允许 ，不得恣意修改或者增减此清静通告内容 ，不得以任何方法将其用于商业目的。
