FasterXML jackson-databind 远程代码执行漏洞预警

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› Authy

› Dashlane 密码管理器

这是一个创建于 1932 天前的主题，其中的信息可能已经有所发展或是发生改变。

CVE-2019-14361、CVE-2019-14439

ackson 官方公开 2 个高危漏洞，攻击者可以通过向受影响的 Jackson 服务器发送精心构造的请求包，导致远程代码执行。

影响范围

FasterXML jackson-databind<2.9.9.2

FasterXML jackson-databind<2.10.0

FasterXML jackson-databind<2.7.9.6

FasterXML jackson-databind<2.8.11.4

修复方案

1、升级 FasterXML jackson-databind 版本到 2.9.9.2,2.10.0,2.7.9.6,2.8.11.4 及以上版本

2、不开启 Jackson 的 defaultTyping 选项

https://github.com/FasterXML/jackson-databind/issues/2389

https://github.com/FasterXML/jackson-databind/issues/2387

目前尚无回复