Jackson-databind反序列化漏洞（CVE-2021-20190 ）风险通告

2021年1月19日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.6存在一处反序列化漏洞，此漏洞可能导致远程代码漏洞执行。

漏洞编号：CVE-2021-20190

漏洞等级：高危

漏洞描述：

jackson-databind存在一处新的反序列化远程代码执行漏洞（CVE-2021-20190），该漏洞是由于 

javax.swing.JTextPane/javax.swing.JEditorPane组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。

jackson-databind是一套开源java高性能JSON处理器。

受影响的版本：

jackson-databind <= 2.9.10.6

安全版本：

jackson-databind >= 2.9.10.7

漏洞修复：

腾讯安全专家建议受影响的用户升级到最新版本

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

腾讯安全解决方案：

1.腾讯T-Sec 主机安全（云镜）漏洞库2021-1-20之后的版本，已支持检测最新的jackson-databind 反序列化漏洞；

2.腾讯T-Sec 云防火墙规则库2021-1-20之后的版本，已支持检测、拦截jackson-databind 反序列化漏洞利用，腾讯云防火墙内置入侵防御功能，使用虚拟补丁机制防御最新的漏洞利用；

3.腾讯T-Sec Web应用防火墙（WAF）已支持防护jackson-databind 反序列化漏洞。

参考链接:

https://nvd.nist.gov/vuln/detail/CVE-2021-20190

https://bugzilla.redhat.com/show_bug.cgi?id=1916633

扫描以下二维码关注“腾讯安全威胁情报中心”公众号，掌握最新的网络安全威胁情报。