【安全通告】Jackson-databind多个反序列化漏洞风险通告
摘要：
尊敬的腾讯云用户，您好！
近日，腾讯云安全运营中心监测到，FasterXML Jackson-databind官方发布安全通告，披露了Jackson-databind < 2.9.10.8从漏洞编号CVE-2020-36179起，至编号CVE-2020-36189的11个反序列化远程代码执行漏洞。
为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。
漏洞详情
Jackson-databind是一套开源java高性能JSON处理器。
CVE-2020-36179：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36180：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36181：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp.cpdsadapter.DriverAdapterCPDS组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36182：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36183：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.docx4j.org.apache.xalan.lib.sql.JNDIConnectionPool组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36184：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36185：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36186：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36187：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36188：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于com.newrelic.agent.deps.ch.qos.logback.core.db.JNDIConnectionSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36189：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36180：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36181：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp.cpdsadapter.DriverAdapterCPDS组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36182：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36183：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.docx4j.org.apache.xalan.lib.sql.JNDIConnectionPool组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36184：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36185：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36186：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36187：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36188：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于com.newrelic.agent.deps.ch.qos.logback.core.db.JNDIConnectionSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
CVE-2020-36189：
FasterXML jackson-databind 2.x < 2.9.10.8的版本存在该漏洞，该漏洞是由于com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource组件库存在不安全的反序列化，导致攻击者可以利用漏洞实现远程代码执行。
风险等级
高
漏洞风险
攻击者可利用该漏洞远程执行任意代码
影响版本
jackson-databind 2.x < 2.9.10.8
安全版本
jackson-databind >= 2.9.10.8
修复建议
1.升级至官方最新版本2.9.10.8及以上
2.官方建议使用 jackson-databind > 2.10的版本，此版本使用白名单验证，可彻底杜绝此类风险。
3.针对无法升级jackson-databind的，可排查并将相关jar组件从应用依赖中移除可阻止漏洞攻击（可能会导致应用不可用风险）。
3.针对无法升级jackson-databind的，可排查并将相关jar组件从应用依赖中移除可阻止漏洞攻击（可能会导致应用不可用风险）。
官方下载链接：
【备注】：建议您在升级前做好数据备份工作，避免出现意外
腾讯云安全解决方案
- 腾讯T-Sec Web 应用防火墙（WAF）已支持防护jackson-databind 多个反序列化漏洞- 腾讯T-Sec云防火墙规则库2021-1-7之后的版本，已支持对jackson-databind 多个反序列化漏洞利用的检测和拦截。腾讯云防火墙内置入侵防御功能，使用虚拟补丁机制防御最新的漏洞利用；
- 腾讯T-Sec高级威胁检测系统（御界）规则库2021-1-7之后的版本，已支持对jackson-databind 多个反序列化漏洞利用的检测；
- 腾讯T-Sec主机安全（云镜）漏洞库2021-1-7之后的版本，已支持对jackson-databind 多个反序列化漏洞。
漏洞参考
https://nvd.nist.gov/vuln/detail/CVE-2020-36188
https://nvd.nist.gov/vuln/detail/CVE-2020-36187
https://nvd.nist.gov/vuln/detail/CVE-2020-36186
https://nvd.nist.gov/vuln/detail/CVE-2020-36186
https://nvd.nist.gov/vuln/detail/CVE-2020-36185
https://nvd.nist.gov/vuln/detail/CVE-2020-36184
https://nvd.nist.gov/vuln/detail/CVE-2020-36183
https://nvd.nist.gov/vuln/detail/CVE-2020-36182
https://nvd.nist.gov/vuln/detail/CVE-2020-36181
https://nvd.nist.gov/vuln/detail/CVE-2020-36180
https://nvd.nist.gov/vuln/detail/CVE-2020-36187
https://nvd.nist.gov/vuln/detail/CVE-2020-36186
https://nvd.nist.gov/vuln/detail/CVE-2020-36186
https://nvd.nist.gov/vuln/detail/CVE-2020-36185
https://nvd.nist.gov/vuln/detail/CVE-2020-36184
https://nvd.nist.gov/vuln/detail/CVE-2020-36183
https://nvd.nist.gov/vuln/detail/CVE-2020-36182
https://nvd.nist.gov/vuln/detail/CVE-2020-36181
https://nvd.nist.gov/vuln/detail/CVE-2020-36180
https://nvd.nist.gov/vuln/detail/CVE-2020-36179
