CVE-2020-10673

Descripción de la Vulnerabilidad

Recientemente, el equipo de laboratorio de ataque y defensa de red de AsiaInfo Security rastreó que jackson-databind actualizó una clase en la lista negra de inyección JNDI. Si el archivo jar de esta clase existe en el paquete del proyecto y la versión de JDK cumple con los requisitos de la versión de inyección, se puede utilizar la inyección JNDI para provocar la ejecución remota de código. La clase es com.caucho.config.types.ResourceRef.

Número de vulnerabilidad:

• CVE-2020-10673
• Número interno de Jackson: 2660

Alcance de la afectación

• jackson-databind <= 2.10.3

• fastjson <= 1.2.66

Recomendaciones de reparación

Actualmente, el fabricante ha publicado un parche de reparación. Puede ingresar a

https://github.com/alibaba/fastjson/releases

para descargar la última versión.

Referencias

• 【Aviso de seguridad】Fastjson publica un parche de vulnerabilidad crítica
• 【Aviso de vulnerabilidad】CVE-2020-10673/jackson-databind Inyección JNDI provoca ejecución remota de código