【威胁通告】Jackson-databind远程代码执行误差 (CVE-2019-12384)

2019-07-23

宣布者：九游老哥科技

综述

克日，有清静职员剖析Jackson-databind的一个误差（CVE-2019-12384）后发明，在知足特定条件时，攻击者可以通过发送恶意的请求包绕过黑名单限制，从而在反序列化时在受影响的服务器上远程执行代码。

参考链接：

https://blog.doyensec.com/2019/07/22/jackson-gadgets.html

九游老哥科技预警级别：【蓝色】

级别界说请参考后文九游老哥科技清静预警定级说明部分

受影响的版本

Jackson-databind 2.x <= 2.9.9

不受影响的版本

Jackson-databind 2.9.9.1

解决计划：

官方已经在2.9.9.1版本中修复该误差，请用户尽快升级举行防护。

同时可以禁用enableDefaultTyping来暂时举行防护。

参考链接：

https://github.com/FasterXML/jackson-databind/releases

九游老哥科技清静预警定级说明

级别	级别说明
红色	影响规模极大，危害极高，使用难度低
橙色	影响规模较广，危害严重，使用难度较低
黄色	影响规模可控，危害水平可控，使用难度较高
蓝色	影响较小，危害水平较小，使用条件苛刻

声明

本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。