近日检测到CNVD发布CVE-2020-9546/CVE-2020-9547/CVE-2020-9548漏洞编号，360灵腾安全实验室判断漏洞等级为高，利用难度高 ，威胁程度高，有一定影响。建议用户根据使用情况酌情安装最新补丁，以免遭受黑客攻击。
0x00 漏洞概述
FasterXML/jackson-databind是一个用于JSON和对象转换的Java第三方库，可将Java对象转换成json对象和xml文档，同样也可将json对象转换成Java对象。
三个利用链皆是黑名单绕过，在反序列化期间触发其指定的方法，最终实现JNDI注入远程代码执行。
0x01 漏洞详情
CVE-2020-9546
漏洞位于org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig中，通过将指定json键值指向ldap服务，反序列化期间调用setMetricRegistry或setHealthCheckRegistry方法
最终触发JNDI 注入，从而将远程类加载到本地执行并实现远程代码执行
CVE-2020-9547
漏洞位于com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig中，同样指向ldap恶意地址
进而触发JNDI 注入，从而将远程类加载到本地代码执行
CVE-2020-9548
反序列化br.com.anteros.dbcp.AnterosDBCPConfig时，通过键值指向ldap服务引用恶意类，同样触发setHealthCheckRegistry方法：
在getObjectOrPerformJndiLookup()中调用可被利用的InitialContext.lookup链，触发JNDI 注入
最终实现远程代码执行
0x02 影响版本
2.0.0 <= FasterXML jackson-databind < 2.9.10.4
0x03 处置建议
升级 jackson-databind 新版本
https://github.com/Fasterxml/jackson-databind/releases
0x04 关于我们
灵腾安全实验室(REDTEAM)正式成立于2020年，隶属于360政企-实网威胁感知部；主攻研究方向包括红队技术、物理攻防、安全狩猎等前瞻技术，为 360AISA全流量威胁分析系统、360天相资产威胁与漏洞管理系统、360虎安服务器安全管理系统、360蜃景攻击欺骗防御系统 核心产品提供安全赋能。
0x05 Reference
https://github.com/FasterXML/jackson-databind/issues/2634
https://nvd.nist.gov/vuln/detail/CVE-2020-9546
评论