【威胁通告】jackson-databind JNDI注入导致的远程代码执行漏洞(CVE-2020-8840)
近日，jackson-databind新版本中修复了一个由JNDI注入导致的远程代码执行漏洞CVE-2020-8840。受影响版本的 jackson-databind 中由于缺少某些xbean-reflect/JNDI黑名单类，如org.apache.xbean.propertyeditor.JndiConverter，可导致攻击者使用JNDI注入的方式实现远程代码执行。
【威胁通告】Jackson-databind远程代码执行漏洞 (CVE-2019-12384)
近日，有安全人员分析Jackson-databind的一个漏洞（CVE-2019-12384）后发现，在满足特定条件时，攻击者可以通过发送恶意的请求包绕过黑名单限制，从而在反序列化时在受影响的服务器上远程执行代码。
【处置手册】Jackson-databind远程代码执行漏洞处置手册（CVE-2017-17485)
Jackson-databind在2018年初又被爆出了一个远程代码执行漏（CVE-2017-17485），受影响的版本有：2.9.3、2.7.9.1、2.8.10及之前的版本。该漏洞是由于Jackson黑名单过滤不完整，当开发人员在应用程序中通过ObjectMapper对象调用enableDefaultTyping方法时，程序就会受到此漏洞的影响，攻击者就可利用构造的包含有恶意代码的json数据包对应用进行攻击，直接获取服务器控制权限。目前针对该漏洞利用的POC已经公开，请受影响的用户及时更新版本进行修复。