搜索

[1275] 2017-04-17_关于Jackson框架存在Java反序列化代码执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-16
2017-04-17_关于Jackson框架存在Java反序列化代码执行漏洞的安全公告 关 于 J a c k s o n 框 架 存 在 J a v a 反 序 列 化 代 码 执 行 漏 洞 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 7 - 0 4 - 1 7 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 7 - 0 0 3 0 近 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 C N V D 白 帽 子 （ I D ： a y o u n d ） 报 送 的 J a c k s o n 框 架 e n a b l e D e f a u l t T y p i n g 方 法 反 序 列 化 漏 洞 （ C N V D - 2 0 1 7 - 0 4 4 8 3 ） 。 攻 击 者 利 用 漏 洞 可 在 服 务 器 主 机 上 执 行 任 意 代 码 或 系 统 指 令 ， 取 得 网 站 服 务 器 的 控 制 权 。 一 、 一 、 漏 洞 情 况 分 析 漏 洞 情 况 分 析 J a c k s o n 是 一 套 开 源 的 j a v a 序 列 化 与 反 序 列 化 工 具 框 架 ， 可 将 j a v a 对 象 序 列 化 为 x m l 和 j s o n 格 式 的 字 符 串 及 提 供 对 应 的 反 序 列 化 过 程 。 由 于 其 解 析 效 率 较 高 ， 目 前 是 S p r i n g   M V C 中 内 置 使 用 的 解 析 方 式 。 4 月 1 5 日 ， C N V D 白 帽 子 ( I D : a y o u n d ) 提 交 了 J a c k s o n 存 在 J a v a 反 序 列 化 漏 洞 的 情 况 ， C N V D 秘 书 处 进 行 了 本 地 环 境 核 实 ， 确 认 漏 洞 在 一 定 条 件 下 可 被 触 发 ， 达 到 任 意 代 码 和 系 统 指 令 执 行 的 目 的 。 该 漏 洞 的 触 发 条 件 是 O b j e c t M a p p e r 反 序 列 化 前 调 用 了 e n a b l e D e f a u l t T y p i n g 方 法 。 该 方 法 允 许 j s o n 字 符 串 中 指 定 反 序 列 化 j a v a 对 象 的 类 名 ， 而 在 使 用 O b j e c t 、 M a p 、 L i s t 等 对 象 时 ， 可 诱 发 反 序 列 化 漏 洞 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 二 、 漏 洞 影 响 范 围 漏 洞 影 响 范 围 漏 洞 影 响 J a c k s o n   2 . 7 版 本 （ < 2 . 7 . 1 0 ） 、 2 . 8 版 本 （ < 2 . 8 . 9 ） 。 根 据 C N V D 秘 书 处 对 J a c k s o n 应 用 普 查 的 结 果 ， 目 前 互 联 网 上 约 有 9 . 1 万 台 网 站 服 务 器 标 定 为 使 用 了 J a c k s o n 框 架 ， 其 中 排 名 前 五 位 的 国 家 有 ： 美 国 （ 占 比 6 8 . 8 % ） 、 中 国 （ 8 . 2 % ） 、 英 国 （ 4 . 1 % ） 、 德 国 （ 2 . 0 % ） 、 荷 兰 （ 2 . 0 % ） 。 目 前 ， 暂 未 进 一 步 抽 样 核 验 实 际 受 影 响 的 比 例 情 况 。 三 、 三 、 防 护 建 议 防 护 建 议 J a c k s o n 开 发 方 已 经 对 a y o u n d 提 交 的 情 况 进 行 了 回 应 ， 并 发 布 了 修 复 更 新 。 用 户 需 更 新 到 2 . 7 . 1 0 或 2 . 8 . 9 版 本 ， 同 时 后 续 将 发 布 的 2 . 9 . 0 版 本 也 会 加 入 该 漏 洞 的 修 复 措 离 。 附 ： 参 考 链 接 ： h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 7 - 0 4 4 8 3 h t t p s : / / g i t h u b . c o m / F a s t e r X M L / j a c k s o n - d a t a b i n d / i s s u e s / 1 5 9 9 ( 修 复 安 全 建 议 ) 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理