More than 3 years have passed since last update.

[漏洞通告]CVE-2765-2020/jackson-databind JNDI注入导致远程代码执行

jackson-databind

Last updated at 2020-06-29Posted at 2020-06-29

漏洞描述

近日,亚信安全网络攻防实验室跟踪到jackson-databind更新了1个jndi注入的黑名单类.如果在项目包中存在该类的jar包且JDK版本满足注入版本,则可以使用JNDI注入的方式导致远程代码执行.类名为org.jsecurity.realm.jndi.JndiRealmFactory.

漏洞编号

CVE-2765-2020

漏洞威胁等级

中危

不受影响范围

jackson-databind >= 2.11.1

漏洞验证

修复建议

参照官方更新至最新版

时间轴

[0] 2020/06/29 亚信安全网络攻防实验室分析&复现该漏洞并发布漏洞通告

Reference

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up