Jackson-databind反序列化漏洞(CVE-2021-20190 )风险通告

2021-01-20 14:58:42
2021年1月19日,jackson-databind官方发布安全通告,披露jackson-databind < 2.9.10.6存在一处反序列化漏洞,此漏洞可能导致远程代码漏洞执行。

2021119日,jackson-databind官方发布安全通告,披露jackson-databind < 2.9.10.6存在一处反序列化漏洞,此漏洞可能导致远程代码漏洞执行。

 

漏洞编号:CVE-2021-20190


漏洞等级:高危


漏洞描述:

jackson-databind存在一处新的反序列化远程代码执行漏洞(CVE-2021-20190),该漏洞是由于 

javax.swing.JTextPane/javax.swing.JEditorPane组件库存在不安全的反序列化,导致攻击者可以利用漏洞实现远程代码执行。

jackson-databind是一套开源java高性能JSON处理器。

 

受影响的版本:

jackson-databind <= 2.9.10.6

安全版本:

jackson-databind >= 2.9.10.7

漏洞修复:

腾讯安全专家建议受影响的用户升级到最新版本

【备注】:建议您在升级前做好数据备份工作,避免出现意外。


腾讯安全解决方案:

1.腾讯T-Sec 主机安全(云镜)漏洞库2021-1-20之后的版本,已支持检测最新的jackson-databind 反序列化漏洞;

2.腾讯T-Sec 云防火墙规则库2021-1-20之后的版本,已支持检测、拦截jackson-databind 反序列化漏洞利用,腾讯云防火墙内置入侵防御功能,使用虚拟补丁机制防御最新的漏洞利用;

3.腾讯T-Sec Web应用防火墙(WAF)已支持防护jackson-databind 反序列化漏洞。

 

参考链接:

https://nvd.nist.gov/vuln/detail/CVE-2021-20190

https://bugzilla.redhat.com/show_bug.cgi?id=1916633


扫描以下二维码关注“腾讯安全威胁情报中心”公众号,掌握最新的网络安全威胁情报。


最新资讯