CVE-2020-10673 PoC — FasterXML jackson-databind 安全漏洞

来源

https://github.com/harry1080/CVE-2020-10673

关联漏洞

标题: FasterXML jackson-databind 安全漏洞 (CVE-2020-10673)
Description:FasterXML jackson-databind是FasterXML公司的一个基于JAVA可以将XML和JSON等数据格式与JAVA对象进行转换的库。Jackson可以轻松的将Java对象转换成json对象和xml文档，同样也可以将json、xml转换成Java对象。 FasterXML jackson-databind 2.9.10.4之前的2.x版本中存在安全漏洞，该漏洞源于com.caucho.config.types.ResourceRef（caucho-quercus）进行了不安全的反序列化

Description

CVE-2020-10673

介绍

### 漏洞描述

近日,亚信安全网络攻防实验室跟踪到 `jackson-databind` 更新了1个jndi注入的黑名单类.如果在项目包中存在该类的jar包且JDK版本满足注入版本,则可以使用JNDI注入的方式导致远程代码执行.该类为 `com.caucho.config.types.ResourceRef`.

漏洞编号：

- CVE-2020-10673
- Jackson内部编号2660

## 影响范围

- jackson-databind <= 2.10.3

- fastjson <= 1.2.66

##  修复建议

目前官方已发表修复补丁，可进入

<https://github.com/alibaba/fastjson/releases>

页面下载最新版本。

## 参考

- [【安全通报】Fastjson发布高危漏洞补丁](https://nosec.org/home/detail/4368.html)
- [【漏洞通告】CVE-2020-10673/jackson-databind JNDI注入导致远程代码执行](https://mp.weixin.qq.com/s/nKTd9I_EUzEqHOrpCqGVbQ)

文件快照

登录后查看神龙缓存的 POC 文件快照

登录查看

备注

1. 建议优先通过来源进行访问。

2. 本地 POC 快照面向订阅用户开放；当原始来源失效或无法访问时，本地镜像作为订阅权益的一部分提供。

查看订阅方案 →

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2020-10673 PoC — FasterXML jackson-databind 安全漏洞

来源

关联漏洞

Description

介绍

文件快照

备注

目标达成感谢每一位支持者 — 我们达成了 100% 目标！