CVE-2016-3720和旧版本的jackson-all-1.9.11以及jackson 2中的小补丁。未修补的x

Question

CVE-2016-3720https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3720的解释很模糊，但阅读代码时我发现了以下问题。即使修复了这些问题，OWasp依赖检查工具仍然报告jar文件容易受到攻击。我认为应用修复程序后它有误报。

CVE-2016-3720暴露了Jackson库中的XML实体注入攻击。https://www.owasp.org/index.php/XML_External_Entity_（XXE）\u处理XML实体注入攻击可以在XML文件的解析中创建无限循环
这将最终耗尽应用程序服务器中的所有内存，或者它可以向外部站点注入引用（这就是报告的问题）。

遗憾的是，Github上没有旧版本Jackson的源代码，项目源代码版本只能返回到Jackson-databind-2.0.0-RC1级别。

如果您使用的是较旧版本的Spring，那么您可能无法升级到最新版本的Jackson 2. x，因此现在您面临安全困境。如何修复漏洞，无需升级Spring。

Answer 1

杰克逊1的源代码可在https://github.com/FasterXML/jackson-1.我已经创建了一个拉请求：https://github.com/FasterXML/jackson-1/pull/1

Answer 2

即使解决了这些问题，OWasp依赖项检查工具仍会报告jar文件易受攻击。我认为在应用修复后，它有一个假阳性。

请注意，OWASP DC不会扫描代码。它使用JAR名称等证据将其与NVD中的数据相关联，因此如果jar的名称表示易受攻击的版本，它将将其识别为易受攻击。当您制作了一个您断言已解决漏洞的jar时，您可以使用包含以下内容的抑制文件：

<?xml version="1.0" encoding="UTF-8"?>
<suppressions xmlns="https://www.owasp.org/index.php/OWASP_Dependency_Check_Suppression">
  <suppress>
    <notes>There I fixed that</notes>
    <sha1>YOUR-JAR-SHA1-HERE</sha1>
    <cve>CVE-2016-3720</cve>
  </suppress>
</suppressions>

请注意，如果您已经在使用抑制文件，只需添加新的

Answer 3

这是您需要做的：

使用基于web的de编译器（www.javadecompilers.com），您可以获得jar文件jackson-all-1.9.11的所有源代码。罐子（这将适用于任何版本的Jackson）

The fixes are fairly simple!

In the 1.9.x version the following 2 files allow XML entity injection.
org/codehaus/jackson/xc/DomElementJsonDeserializer.java
org/codehaus/jackson/map/ext/DOMDeserializer.java

When you update the jar be sure to update the additional nested inner classes.


org/codehaus/jackson/map/ext/DOMDeserializer.class
org/codehaus/jackson/map/ext/DOMDeserializer$DocumentDeserializer.class
org/codehaus/jackson/map/ext/DOMDeserializer$NodeDeserializer.class
org/codehaus/jackson/xc/DomElementJsonDeserializer.class



In the  2.x.x version the package name has changed.
These files need to be modified


com/fasterxml/jackson/databind/ext/DOMDeserializer.java
com/fasterxml/jackson/dataformat/xml/XmlFactory.java

在1.9版本中，停止实体注入的解决方案是在这两个文件中添加以下行。

.setFeature(javax.xml.XMLConstants.FEATURE_SECURE_PROCESSING, true);

这里是将其添加到反编译代码中，然后重新编译文件，并更新jar文件的地方。

    public abstract class DOMDeserializer<T>
extends FromStringDeserializer<T> {
static final DocumentBuilderFactory _parserFactory;
static {
    _parserFactory = DocumentBuilderFactory.newInstance();

    /* CVE-2016-3720 */
    try {
        _parserFactory.setFeature(javax.xml.XMLConstants.FEATURE_SECURE_PROCESSING, true);
    } catch (ParserConfigurationException e) {
        e.printStackTrace();
    }
    // Move this line from the static block lower in the file.
    _parserFactory.setNamespaceAware(true);

}

 public DomElementJsonDeserializer() {
    super(Element.class);
    try {
        DocumentBuilderFactory bf = DocumentBuilderFactory.newInstance();
        bf.setNamespaceAware(true);
        /* CVE-2016-3720 */ 
        bf.setFeature(javax.xml.XMLConstants.FEATURE_SECURE_PROCESSING, true);

        this.builder = bf.newDocumentBuilder();
    }
    catch (ParserConfigurationException e) {
        throw new RuntimeException();
    }
}

在2。x版本，您需要以稍微不同的方式修改此文件。添加行：

xmlIn.setProperty("javax.xml.stream.isSupportingExternalEntities", Boolean.FALSE);


package com.fasterxml.jackson.dataformat.xml;

public class XmlFactory
extends JsonFactory {


   protected XmlFactory(ObjectCodec oc, int xpFeatures, int xgFeatures, XMLInputFactory xmlIn, XMLOutputFactory xmlOut, String nameForTextElem) {
    super(oc);
    this._xmlParserFeatures = xpFeatures;
    this._xmlGeneratorFeatures = xgFeatures;
    this._cfgNameForTextElement = nameForTextElem;
    if (xmlIn == null) {
        xmlIn = XMLInputFactory.newInstance();
        xmlIn.setProperty("javax.xml.stream.isSupportingExternalEntities", Boolean.FALSE);
    }

我希望你觉得这很有帮助。