Jackson框架enableDefaultTyping方法反序列化漏洞
漏洞描述
Jackson是一个开源的java序列化与反序列化工具,可以将java对象序列化为xml和json格式的字符串或将俩种文件反序列化为相应的对象。
Jackson框架enableDefaultTyping方法存在Java反序列化代码执行漏洞,攻击者利用漏洞可在服务器主机上执行任意代码或系统指令,取得网站服务器的控制权。
影响范围
Jackson Jackson 2.7.*,<2.7.10
Jackson Jackson 2.8.*,<2.8.9
漏洞详情
暂无
漏洞 POC
暂无
修复建议
漏洞已上报给jackson,该开源组件已修复漏洞,使用该开源组件的应用需要更新jackson的jar包:
参考来源
暂无