FasterXML jackson-databind远程代码执行缝隙安全公告

颁布功夫 2019-07-31

? 缝隙编号和级别


CVE编号：CVE-2019-14361，危险级别：高危，CVSS分值：官方未评定

CVE编号：CVE-2019-14379，危险级别：高危，CVSS分值：官方未评定


? 影响版本


受影响的版本


产品


FastXML


版本


FasterXMLjackson-databind<2.9.9.2
FasterXMLjackson-databind<2.10.0
FasterXMLjackson-databind<2.7.9.6

FasterXMLjackson-databind<2.8.11.4


组件


FasterXMLjackson-databind

FasterXMLback-ported


? 缝隙概述


FasterXMLjackson-databind是一个单一基于Java利用库，Jackson能够轻松的将Java对象转换成json对象和xml文档，同样也能够将json、xml转换成Java对象。


FasterXMLjackson-databind存在反序列化缝隙补丁绕过。攻击者可利用缝隙执行代码。


? 缝隙验证


EXP: https://github.com/Heartway


? 建复建议


1、升级FasterXMLjackson-databind版本到2.9.9.2,2.10.0,2.7.9.6,2.8.11.4
2、不开启Jackson的defaultTyping选项

? 参考链接


https://github.com/FasterXML/jackson-databind/issues/2387 
https://github.com/FasterXML/jackson-databind/issues/2389