国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

安全公告編號(hào):CNTA-2017-0030

近日，國家信息安全漏洞共享平臺(tái)（CNVD）收錄了CNVD白帽子（ID：ayound）報(bào)送的Jackson框架enableDefaultTyping方法反序列化漏洞（CNVD-2017-04483）。攻擊者利用漏洞可在服務(wù)器主機(jī)上執(zhí)行任意代碼或系統(tǒng)指令，取得網(wǎng)站服務(wù)器的控制權(quán)

一、漏洞情況分析

Jackson是一套開源的java序列化與反序列化工具框架，可將java對(duì)象序列化為xml和json格式的字符串及提供對(duì)應(yīng)的反序列化過程。由于其解析效率較高，目前是Spring MVC中內(nèi)置使用的解析方式。4月15日，CNVD白帽子(ID:ayound)提交了Jackson存在Java反序列化漏洞的情況，CNVD秘書處進(jìn)行了本地環(huán)境核實(shí)，確認(rèn)漏洞在一定條件下可被觸發(fā)，達(dá)到任意代碼和系統(tǒng)指令執(zhí)行的目的。該漏洞的觸發(fā)條件是ObjectMapper反序列化前調(diào)用了enableDefaultTyping方法。該方法允許json字符串中指定反序列化java對(duì)象的類名，而在使用Object、Map、List等對(duì)象時(shí)，可誘發(fā)反序列化漏洞。

CNVD對(duì)該漏洞的綜合評(píng)級(jí)為“高危”。

二、漏洞影響范圍

漏洞影響Jackson 2.7版本（<2.7.10）、2.8版本（<2.8.9）。根據(jù)CNVD秘書處對(duì)Jackson應(yīng)用普查的結(jié)果，目前互聯(lián)網(wǎng)上約有9.1萬臺(tái)網(wǎng)站服務(wù)器標(biāo)定為使用了Jackson框架，其中排名前五位的國家有：美國（占比68.8%）、中國（8.2%）、英國（4.1%）、德國（2.0%）、荷蘭（2.0%）。目前，暫未進(jìn)一步抽樣核驗(yàn)實(shí)際受影響的比例情況。

三、防護(hù)建議

Jackson開發(fā)方已經(jīng)對(duì)ayound提交的情況進(jìn)行了回應(yīng)，并發(fā)布了修復(fù)更新。用戶需更新到2.7.10或2.8.9版本，同時(shí)后續(xù)將發(fā)布的2.9.0版本也會(huì)加入該漏洞的修復(fù)措離。

附：參考鏈接：

http://www.cnvd.org.cn/flaw/show/CNVD-2017-04483

https://github.com/FasterXML/jackson-databind/issues/1599(修復(fù)安全建議)