- 综合排序
- 最热优先
- 最新优先
- 来自专栏FreeBuf
FasterXML jackson-databind远程代码执行漏洞
FasterXMLjackson-databind版本到2.9.9.2,2.10.0,2.7.9.6,2.8.11.4 2、不开启Jackson的defaultTyping选项 六、参考 https://github.com/FasterXML/jackson-databind /issues/2389 https://github.com/FasterXML/jackson-databind/issues/2387 https://cve.mitre.org/cgi-bin/
4.8K10发布于 2019-08-02 - 来自专栏网络安全攻防
CVE-2020-xxxx:Jackson-databind RCE
影响范围 jackson-databind before 2.9.10.4 jackson-databind before 2.8.11.6 jackson-databind before 2.7.9.7 enableDefaultTyping() 使用了com.nqadmin.rowset.JdbcRowSetImpl第三方依赖 漏洞概述 com.nqadmin.rowset.JdbcRowSetImpl类绕过了之前jackson-databind dependencies> <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind ->this.connect() ->(DataSource)ctx.lookup(this.getDataSourceName()) 修复建议 及时将jackson-databind
54320编辑于 2022-09-07 - 来自专栏网络安全攻防
CVE-2020-xxxx:Jackson-databind SSRF
影响范围 jackson-databind before 2.9.10.6 jackson-databind before 2.10.2 利用条件 影响范围应用 漏洞概述 漏洞类javax.swing.JTextPane 来源于JDK不需要依赖任何jar包，该类在jackson-databind进行反序列化时可造成SSRF 漏洞复现 环境搭建 Step 1：新建Meaven项目： Step 2：修改pom.xml dependencies> <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind /commit/7dbf51bf78d157098074a20bd9da39bd48c18e4a 修复建议 及时将jackson-databind升级到安全版本 升级到较高版本的JDK 参考链接 https ://github.com/FasterXML/jackson-databind/issues/2854 https://github.com/FasterXML/jackson-databind/commit
83520编辑于 2022-09-07 - 来自专栏网络安全攻防
CVE-2020-36186:jackson-databind RCE
影响范围 Jackson-databind < 2.9.10.7 漏洞类型 JDNI注入导致RCE 利用条件 开启enableDefaultTyping() 使用了commons-dbcp第三方依赖库 漏洞概述 org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource类绕过了之前jackson-databind维护的黑名单类，并且JDK <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource加入黑名单中，但是这种修复方案只能一时间缓解，因为难免会出现其他黑名单绕过方案： https://github.com/FasterXML/jackson-databind 修复建议 及时将jackson-databind升级到安全版本(>=2.9.10.7) 升级到较高版本的JDK New Gadget ?
98920发布于 2021-07-21 - 来自专栏网络安全攻防
CVE-2020-36186:jackson-databind RCE
影响范围 Jackson-databind < 2.9.10.7 漏洞类型 JDNI注入导致RCE 利用条件 开启enableDefaultTyping() 使用了commons-dbcp第三方依赖库 漏洞概述 org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource类绕过了之前jackson-databind维护的黑名单类，并且JDK <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource加入黑名单中，但是这种修复方案只能一时间缓解，因为难免会出现其他黑名单绕过方案： https://github.com/FasterXML/jackson-databind /commit/3e8fa3beea49ea62109df9e643c9cb678dabdde1 image.png 修复建议 及时将jackson-databind升级到安全版本(>=2.9.10.7
1.4K30发布于 2021-04-01 - 来自专栏网络安全攻防
CVE-2020-24750:Jackson-databind RCE
影响范围 jackson-databind before 2.9.10.4 jackson-databind before 2.8.11.6 jackson-databind before 2.7.9.7 dependencies> <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind 漏洞分析 通过查看issue编号可以查看到对应添加到黑名单中的相关类： https://github.com/FasterXML/jackson-databind/issues/2798 ? 相关类确定： https://github.com/kishorkunal-raj/jackson-databind/blob/5f4148e6c083529a2d12c6dc986b07a03850f503 整个利用链如下所示： mapper.readValue ->JndiConfiguration ->lookup 安全建议 及时将jackson-databind升级到安全版本
1.3K20发布于 2021-07-21 - 来自专栏网络安全攻防
CVE-2020-9548:Jackson-databind RCE
影响范围 jackson-databind before 2.9.10.4 jackson-databind before 2.8.11.6 jackson-databind before 2.7.9.7 JDNI注入导致RCE 利用条件 开启enableDefaultTyping() 使用了br.com.anteros.dbcp.AnterosDBCPConfig第三方依赖 漏洞概述 2020年3月，jackson-databind 在github上更新了一个新的反序列化利用类br.com.anteros.dbcp.AnterosDBCPConfig，该类绕过了之前jackson-databind维护的黑名单类，并且JDK版本较低的话 dependencies> <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind 参考链接 https://github.com/FasterXML/jackson-databind/issues/2634
1.1K10编辑于 2022-09-07 - 来自专栏网络安全攻防
CVE-2020-36189:Jackson-databind SSRF&RCE
影响范围 Jackson-databind < 2.9.10.7 漏洞类型 JDNI注入导致RCE 利用条件 开启enableDefaultTyping() 使用了com.h2database\com.newrelic.agent.java 第三方依赖库 漏洞概述 com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource类绕过了之前jackson-databind <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource加入黑名单中，但是这种修复方案只能一时间缓解，因为难免会出现其他黑名单绕过方案： image.png 修复建议 及时将jackson-databind
1.5K60发布于 2021-04-01 - 来自专栏网络安全攻防
CVE-2020-36179:Jackson-databind SSRF&RCE
影响范围 Jackson-databind < 2.9.10.7 漏洞类型 JDNI注入导致RCE 利用条件 开启enableDefaultTyping() 使用了com.h2database\com.newrelic.agent.java 第三方依赖库 漏洞概述 com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource类绕过了之前jackson-databind <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind 修复建议 及时将jackson-databind升级到安全版本(>2.9.10.7) 升级到较高版本的JDK New Gadget 文末赠送一个新的Gadget ?
1.6K20发布于 2021-07-21 - 来自专栏网络安全攻防
CVE-2020-36179808182:Jackson-databind SSRF&RCE
影响范围 Jackson-databind < 2.9.10.7 漏洞类型 JDNI注入导致RCE 利用条件 开启enableDefaultTyping() 使用了org.apache.servicemix.bundles 第三方依赖库 漏洞概述 以下类绕过了之前jackson-databind维护的黑名单类，并且JDK版本较低的话，可造成SSRF&RCE： CVE-2020-36179：org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind ->getPooledConnection ->DirverManager.getConnection(this.url,username,pass) 修复建议 及时将jackson-databind
73510编辑于 2022-09-07 - 来自专栏JavaEdge
jackson-databind最佳实践给出一个简单的POJOObjectMapper集合
给出一个简单的POJO 使用databind，我们需要一个最基础的对象com.fasterxml.jackson.databind.ObjectMapper这里我们构造一个: 注意:这个objectM
1.9K50发布于 2018-05-16 - 来自专栏绿盟科技安全情报
【漏洞通告】Jackson-databind远程代码执行漏洞（CVE-2020-8840）通告
通告编号:NS-2020-0010 2020-02-21 TAG： Jackson-databind、远程代码执行、CVE-2020-8840 漏洞危害： 攻击者利用此漏洞，可造成远程代码执行。 版本： 1.0 1 漏洞概述 2月19日，NVD发布安全通告披露了jackson-databind由JNDI注入导致的远程代码执行漏洞（CVE-2020-8840），CVSS评分为9.8 。 <= 2.9.10.2 不受影响版本 FasterXML jackson-databind = 2.8.11.5 FasterXML jackson-databind = 2.9.10.3（暂未发布） 3漏洞检测 3.1 版本检测 建议开发人员排查应用程序中对Jackson-databind组件的引入情况，包括是否引入以及版本详情。 以Maven项目为例，排查方法如下所示： 检查pom.xml相关文件对jackson-databind引入情况，查看当前使用的版本。 ? 若当前版本在受影响范围内，则可能存在安全风险。
3.9K30发布于 2020-03-04 - 来自专栏绿盟科技安全情报
【漏洞预警】Jackson-databind远程代码执行（CVE-2019-12384）预警通告
2.X < 2.9.9.1 不受影响版本 Jackson-databind 2.9.9.1 Jackson-databind 2.10 3漏洞排查 当应用程序中引入Jackson组件，通过ObjectMapper 建议开发人员排查Jackson-databind组件的引入情况，包括是否引入以及版本详情，并且排查代码中是否调用了enableDefaultTyping方法。 以Maven项目为例，排查方法如下所示： 1、检查pom.xml相关文件对jackson-databind引入情况，判断当前版本是否低于2.9.9.1版本。 ? 2、当引入了jackson-databind组件时，排查代码中是否调用了enableDefaultTyping方法，如果调用了，建议立即升级相关组件并重启Web应用。 ? 下载链接：https://github.com/FasterXML/jackson-databind/releases ?
1.3K10发布于 2019-10-24 - 来自专栏云鼎实验室的专栏
漏洞情报｜Jackson-databind反序列化漏洞风险通告（CVE-2020-35490，CVE-2020-35491)
2020年12月18日，腾讯云安全运营中心监测到，FasterXML Jackson-databind官方发布安全通告，披露Jackson-databind < 2.9.10.8存在反序列化远程代码执行漏洞 漏洞详情 Jackson-databind是一套开源java高性能JSON处理器。 风险等级 中风险 漏洞风险 攻击者可利用该漏洞远程执行任意代码 影响版本 jackson-databind 2.x < 2.9.10.8 安全版本 jackson-databind >= 2.9.10.8 (尚未推出) jackson-databind >= 2.10.0 修复建议 1.官方尚未推出补丁，建议使用 jackson-databind > 2.10的版本，此版本使用白名单验证，可彻底杜绝此类风险 /FasterXML/jackson-databind/issues/2986 ?
2.3K20发布于 2020-12-18 - 来自专栏腾讯云安全的专栏
安全通告 | Jackson发布更新，披露多个反序列化安全漏洞
jackson-databind是其中的一个具有数据绑定功能的组件。 FasterXML jackson-databind 2.9.10.6之前的版本中存在安全漏洞，该漏洞源于进行了不安全的反序列化。 jackson-databind是其中的一个具有数据绑定功能的组件。Jackson是SpringBoot中首选和默认的转换工具。 影响版本 jackson-databind < 2.9.10.6 修复版本 jackson-databind 2.9.10.6 或更高的版本 修复建议 官方已发布新版本修复该漏洞，腾讯云安全建议您 推荐方案：升级到jackson-databind 2.9.10.6 或更高版本； 2. /2827 4）https://github.com/FasterXML/jackson-databind/issues/2826 5）https://github.com/FasterXML/jackson-databind
1.9K51发布于 2020-08-27 - 来自专栏全栈开发工程师
【Spring Boot】025-返回 JSON 数据：常用的三种 JSON 转换器
【Spring Boot】025-返回 JSON 数据：常用的三种 JSON 转换器 一、第一种：默认的 jackson-databind 1、说明 默认情况下，类上使用 @Controller 注解， 特点： 快速、高效；代码量少、简洁；面向对象；数据传递和解析方便 2、使用步骤 第一步：在 pom.xml 中移除默认的 jackson-databind ，引入 Gson 依赖 <! <exclusion> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind 2、使用步骤 第一步：在 pom.xml 中移除默认的 jackson-databind ，引入 fastjson 依赖 <! <exclusion> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind
1.7K10编辑于 2025-01-06 - 来自专栏全栈技术
通过SpringMVC框架响应JSON数据
当响应数据的类型是SpringMVC框架默认并不识别的类型时，且当前开发环境添加了jackson-databind依赖，SpringMVC框架会自动使用jackson-databind中的转换器，而jackson-databind 在项目中只需要确保添加了jackson-databind依赖即可，并不需要进行额外的配置，也不需要显式的使用到该框架中的某个类！ annotation-driven /> 总的来说，如果需要SpringMVC框架能够响应JSON格式的数据，需要： 使用@RestController或@ResponseBody注解； 在项目中添加jackson-databind
1.6K20发布于 2021-08-23 - 来自专栏绿盟科技安全情报
【漏洞通告】fastjson<=1.2.62远程代码执行漏洞通告
通告编号:NS-2020-0011 2020-02-21 TAG： fastjson、Jackson-databind、远程代码执行 危害等级： 高，攻击者利用此漏洞，可造成远程代码执行。 应急等级： 蓝色 版本： 1.0 1 漏洞概述 2月19日，NVD发布的Jackson-databind JNDI注入漏洞（CVE-2020-8840），在jackson-databind中的反序列化
1.4K30发布于 2020-03-04 - 来自专栏java springboot docker
json问题
-- 新加 https://mvnrepository.com/artifact/com.fasterxml.jackson.core/jackson-databind --> <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind</artifactId> <version
46110编辑于 2023-03-01 - 来自专栏Khan安全团队
CVE-2020-35728 - RCE FasterXML POC
FFasterXML/jackson-databind是一个用于JSON和对象转换的Java第三方库，可将Java对象转换成json对象和xml文档，同样也可将json对象转换成Java 2.9.10.8之前的FasterXML jackson-databind 2.x对序列化小工具和打字之间的交互处理不当，与com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind
2.9K10发布于 2021-01-11
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号