一、 漏洞 CVE-2017-7525 基础信息
漏洞信息
                                        # N/A

## 概述
在 jackson-databind 中发现了反序列化漏洞，该漏洞可使未经认证的用户通过向 ObjectMapper 的 readValue 方法发送恶意构造的输入来执行代码。

## 影响版本
- 2.6.7.1 之前的所有 2.6.x 版本
- 2.7.9.1 之前的所有 2.7.x 版本
- 2.8.9 之前的所有 2.8.x 版本

## 细节
该漏洞存在于 jackson-databind 库中，在前述受影响版本中，当使用 ObjectMapper 的 readValue 方法处理恶意构造的输入时，会触发反序列化漏洞，导致远程代码执行。

## 影响
未经认证的攻击者可以通过发送特制的输入，利用该漏洞在目标系统上执行任意代码，进而可能导致系统被完全控制。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
A deserialization flaw was discovered in the jackson-databind, versions before 2.6.7.1, 2.7.9.1 and 2.8.9, which could allow an unauthenticated user to perform code execution by sending the maliciously crafted input to the readValue method of the ObjectMapper.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
不完整的黑名单
来源：美国国家漏洞数据库 NVD
漏洞标题
FasterXML Jackson 代码问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。 FasterXML jackson-databind 2.6.7.1之前版本、2.7.9.1版本和2.8.9版本中存在代码问题漏洞。该漏洞源于网络系统或产品的代码开发过程中存在设计或实现不当的问题。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2017-7525 的公开POC
# POC 描述 源链接 神龙链接
1 Struts2の脆弱性S2-045, S2-055 および Jackson の脆弱性 CVE-2017-7525, CVE-2017-15095 の調査報告 https://github.com/SecureSkyTechnology/study-struts2-s2-054_055-jackson-cve-2017-7525_cve-2017-15095 POC详情
2 CVE-2017-7525 S2-055 Exploit https://github.com/Nazicc/S2-055 POC详情
3 Exploiting CVE-2017-7525 demo project with Angular7 frontend and Spring. https://github.com/JavanXD/Demo-Exploit-Jackson-RCE POC详情
4 Demo for CVE-2017-7525 https://github.com/BassinD/jackson-RCE POC详情
5 Jackson Deserialization CVE-2017-7525 PoC https://github.com/Dannners/jackson-deserialization-2017-7525 POC详情
6 Insecure Java Deserialization Lab https://github.com/Ingenuity-Fainting-Goats/CVE-2017-7525-Jackson-Deserialization-Lab POC详情
7 None https://github.com/Threekiii/Awesome-POC/blob/master/%E5%BC%80%E5%8F%91%E6%A1%86%E6%9E%B6%E6%BC%8F%E6%B4%9E/Jackson-databind%20%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E%20CVE-2017-7525%2BCVE-2017-17485.md POC详情
8 https://github.com/vulhub/vulhub/blob/master/jackson/CVE-2017-7525/README.md POC详情
三、漏洞 CVE-2017-7525 的情报信息