Jacksondatabind和fastjson远程代码执行漏洞风险通告启明星辰

Jackson ImmunoResearch 致力于专业生产应用于生命科学的二抗。我们在免疫球蛋白的生产和纯化方面拥有 35 年的经验。作为世界上最值得信赖的供应商之一,我们将继续优化流程并...

2月19日，NVD发布安全通告披露了Jackson-datABInd由JNDI注入导致的远程代码执行漏洞。受影响版本的jackson-databind中由于缺少某些xbean-reflect/JNDI黑名单类，如org.apache.xbean.propertyeditor.JndiConverter，可导致攻击者使用JNDI注入的方式实现远程代码执行。
在jackson-databind中的反序列化gadget也同样影响了fastjson，在开启了autoType功能的情况下（autoType功能默认关闭），攻击者利用该漏洞可实现在目标机器上的远程代码执行。
漏洞验证
暂无PoC/EXP。
修复建议
1.FasterXMLjackson-databind
目前官方已在最新版本中修复了该漏洞，请受影响的用户尽快升级版本进行防护，暂未发布新版本的请持续关注官方信息，下载链接：https://github.com/FasterXML/jackson-databind/releases。
2.fastjson
官方暂未发布针对此漏洞的修复版本，开启了autoType功能的受影响用户可通过关闭autoType来规避风险（autoType功能默认关闭），另建议将JDK升级到最新版本。
autoType关闭方法如下：
方法一：在项目源码中全文搜索如下代码，找到并将此行代码删除：ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
方法二：在JVM中启动项目时，切勿添加以下参数：-Dfastjson.parser.autoTypeSupport=true
参考链接
https://nvd.NIST.gov/vuln/detail/CVE-2020-8840

Jackson ImmunoResearch 致力于专业生产应用于生命科学的二抗。我们在免疫球蛋白的生产和纯化方面拥有 35 年的经验。作为世界上最值得信赖的供应商之一，我们将继续优化流程并开发新技术，以满足生物技术和实践未来发展的需求。我们所有的抗体都是在宾夕法尼亚州费城以西的实验室生产的。我们不会 OEM（重新贴牌）抗体。除了二抗，我们还生产互补产品，例如封闭血清，对照蛋白和链霉亲和素结合物。以我们对二抗的专注以及对最高质量标准的承诺相结合，可确保产品质量，一致性和最小的批次间差异。我们的优势：在单个高度专业的领域中超过 35 年的经验；作为可靠供应商长期保障二抗的生产，偶联和供应；高效的客户服务；在研究，制造和所有运营过程中保持最高标准，从而有助于确保有保证的产品质量，长期的产品一致性。 ...展开 您知悉并同意，丁香通平台展示产品并非为平台自身产品，您发起询价或试用申请后，平台将会把您已提供或按要求提供的相关信息同步提供至所咨询的具体产品商家，由商家为您提供具体产品的价格咨询或产品试用注意事项及相关试用产品或完成相应购买，因此您知悉并授权平台将您的信息进行同步共享。您有权拒绝，但您知悉将无法参加询价或试用活动。