Jackson CVE-2018-19361 反序列化漏洞

王嘟嘟_

已于 2023-10-22 11:22:26 修改

阅读量613

点赞数

CC 4.0 BY-SA版权

分类专栏： Java代码审计文章标签： apache java 开发语言

于 2023-03-10 13:03:10 首次发布

本文为博主原创文章，未经博主允许不得转载，未授权转载为侵权行为，违反法律。

本文链接：https://blog.csdn.net/qq_36869808/article/details/129440451

Java代码审计专栏收录该内容

70 篇文章

订阅专栏

文章介绍了OpenJPA在特定版本下的两个黑名单类，涉及可能的安全风险，如通过JNDIlookup的调用。Jackson库的反序列化漏洞被提及，强调了其在数据转换中的重要性。同时，提到了CVE-2018-19361，这是一个OpenBSD操作系统中的认证系统漏洞，允许攻击者绕过权限获取系统访问。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

0x00 前言

可以先看：

Jackson 反序列化漏洞原理

或者直接看总结也可以：

Jackson总结

涉及版本：<2.98

OpenJPA 是 Apache 组织提供的开源项目，它实现了 EJB 3.0 中的 JPA 标准，为开发者提供功能强大、使用简单的持久化数据管理框架。（百度百科）

0x01 调用链

同样还是通过ChatGPT，自己查又要一些时间：openjpa-all-x.jar
在这里插入图片描述
黑名单有两条：

org.apache.openjpa.ee.RegistryManagedRuntime

org.apache.openjpa.ee.JNDIManagedRuntime

1.org.apache.openjpa.ee.RegistryManagedRuntime

首先来看第一条，在这个方法：getTransactionManager，可以看到调用InitialContext.lookup

在这里插入图片描述 _registryName这个参数，通过setRegistryName进行赋值：

在这里插入图片描述

2.org.apache.openjpa.ee.JNDIManagedRuntime

同样的也是找到ctx.lookup
在这里插入图片描述
这种星火应该是随便扫的。晚点附上扫描图，并且希望星火支持直接反编译jar包是最好的。

0x02 黑名单

在这里插入图片描述
无趣，以上。

补充知识

Jackson

Jackson是一个基于Java语言的开源库，提供了一系列处理JSON格式数据的工具方法。它可以将Java对象转换成JSON格式，也可以将JSON格式的数据转换成Java对象。Jackson的主要优点包括模块化、高性能、易扩展、简单易用等。

Jackson提供了三个主要的API:

Streaming API：使用流式的方式读写JSON数据，适用于大型JSON数据的处理。
Tree Model API：将JSON数据解析为树型结构，适用于小型JSON数据的处理。
Data Binding API：通过Java对象和JSON数据的相互转换，支持对象继承、多态等高级特性。

Jackson还提供了多种插件和扩展，例如支持XML格式数据的jackson-dataformat-xml插件，支持协议缓存的jackson-module-afterburner扩展等。

OpenJPA

OpenJPA是一个Java持久化框架，可以将Java对象映射到关系型数据库中。它实现了Java持久化规范（Java Persistence API），并提供了许多扩展功能。

OpenJPA支持多种ORM映射策略，包括注释（annotation）、XML和Java类。它还提供了充分的缓存机制，以提高应用程序的性能。

OpenJPA还提供了一些高级功能，如动态查询、透明的数据加密、分布式缓存等等。同时，它还支持与其他开源组件的集成，如Spring和Tomcat等。

总之，OpenJPA是一个成熟的Java持久化框架，有助于简化数据访问层的编写，提高开发效率和应用程序的性能。OpenJPA是一个Java持久化框架，可以将Java对象映射到关系型数据库中。它实现了Java持久化规范（Java Persistence API），并提供了许多扩展功能。

OpenJPA支持多种ORM映射策略，包括注释（annotation）、XML和Java类。它还提供了充分的缓存机制，以提高应用程序的性能。

OpenJPA还提供了一些高级功能，如动态查询、透明的数据加密、分布式缓存等等。同时，它还支持与其他开源组件的集成，如Spring和Tomcat等。

总之，OpenJPA是一个成熟的Java持久化框架，有助于简化数据访问层的编写，提高开发效率和应用程序的性能。

CVE-2018-19361

CVE-2018-19361 is a vulnerability in the OpenBSD operating system’s authentication system, specifically in the way it handles certain password hashing algorithms. The vulnerability allows an attacker to bypass the authentication process and gain access to the system as a privileged user. It was discovered in October 2018 and was patched in OpenBSD version 6.4. Users of earlier versions of OpenBSD are advised to update their systems as soon as possible to prevent exploitation of this vulnerability.CVE-2018-19361 is a vulnerability in the OpenBSD operating system’s authentication system, specifically in the way it handles certain password hashing algorithms. The vulnerability allows an attacker to bypass the authentication process and gain access to the system as a privileged user. It was discovered in October 2018 and was patched in OpenBSD version 6.4. Users of earlier versions of OpenBSD are advised to update their systems as soon as possible to prevent exploitation of this vulnerability.