Jackson框架enableDefaultTyping方法反序列化漏洞（CNVD-2017-04483）

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2017-04-15

漏洞描述

Jackson是一个开源的java序列化与反序列化工具，可以将java对象序列化为xml和json格式的字符串或将俩种文件反序列化为相应的对象。 Jackson框架enableDefaultTyping方法存在Java反序列化代码执行漏洞，攻击者利用漏洞可在服务器主机上执行任意代码或系统指令，取得网站服务器的控制权。

解决建议

漏洞已上报给jackson，该开源组件已修复漏洞，使用该开源组件的应用需要更新jackson的jar包：
https://github.com/FasterXML/jackson-databind/issues/1599

参考链接
https://www.cnvd.org.cn/flaw/show/CNVD-2017-04483

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A CWE-ID 漏洞类型