当前位置:首页 > seo技术分享 > 正文

Jackson高危反序列化漏洞

近日,国家信息安全漏洞共享平台(CNVD)收录了CNVD白帽子(ID:ayound)报送的Jackson框架enableDefaultTyping方法反序列化漏洞(CNVD-2017-04483)。攻击者利用漏洞可在服务器主机上执行任意代码或系统指令,取得网站服务器的控制权。

Jackson高危反序列化漏洞

2017年4月17日, Jackson框架曝出存在Java反序列化漏洞,利用漏洞可造成远程代码执行,获取网站控制权,危害极高。

Jackson是一套开源的java序列化与反序列化工具框架,可将java对象序列化为xml和json格式的字符串及提供对应的反序列化过程。由于其解析效率较高,目前是Spring MVC中内置使用的解析方式。

4月15日,CNVD白帽子提交了Jackson存在Java反序列化漏洞的情况,CNVD秘书处进行了本地环境核实,确认漏洞在一定条件下可被触发,达到任意代码和系统指令执行的目的。该漏洞的触发条件是ObjectMapper反序列化前调用了enableDefaultTyping方法。该方法允许json字符串中指定反序列化java对象的类名,而在使用Object、Map、List等对象时,可诱发反序列化漏洞。

影响版本:

2.7.*<=Jackson<2.7.10

2.8.*<=Jackson<2.8.9

漏洞等级:高危

修复建议

1、升级Jackson到2.7.10或2.8.9以上版本;

2、使用百度云加速WAF防火墙进行防御;

3、添加网站至安全指数,及时了解网站组件突发/0day漏洞。

了解更多

http://www.cnvd.org.cn/flaw/show/CNVD-2017-04483

评论已关闭!