Apache Ignite 2.14.0中Jackson-databind高危漏洞的影响与防护问询

一、漏洞基本信息 #

• 涉及组件：Apache Ignite v2.14.0 依赖的 Jackson-databind v2.12.7
• 高危漏洞编号：CVE-2022-42003、CVE-2022-42004
• 扫描来源：Aquasec定期代码及第三方库安全扫描

二、对系统的影响 #

这两个CVE均为Jackson-databind的反序列化远程代码执行漏洞：

• 若Ignite使用Jackson序列化且启用了默认类型解析（DefaultTyping），攻击者可构造包含恶意类的序列化 payload，触发服务器端代码执行，进而非法获取系统权限、泄露敏感信息
• 若未启用默认类型解析，风险虽有所降低，但仍存在潜在利用可能
• 额外限制：Jackson-databind同时被内部业务库依赖，无法完全移除；父POM中覆盖Jackson版本仅对自研代码生效，Ignite仍会强制使用v2.12.7，常规版本升级手段无法直接修复Ignite依赖的漏洞

三、可行防护措施 #

1. 针对Ignite的漏洞防护 #

• 启用反序列化黑名单：在Ignite配置中添加恶意类黑名单，阻止危险类的反序列化。示例配置：

IgniteConfiguration cfg = new IgniteConfiguration();
JacksonMarshaller marshaller = new JacksonMarshaller();
ObjectMapper mapper = marshaller.getMapper();
// 配置黑名单，禁止CVE涉及的恶意类反序列化
mapper.addMixIn(CVE_Affected_Class1.class, IgnoreTypeHints.class);
mapper.addMixIn(CVE_Affected_Class2.class, IgnoreTypeHints.class);
cfg.setMarshaller(marshaller);

• 升级Ignite版本：Apache Ignite v2.15.0及后续版本已将Jackson-databind依赖升级至安全版本，可评估业务兼容性后完成版本升级
• 限制输入来源：严格管控Ignite接收的序列化数据来源，仅允许可信客户端发送请求，避免接收未知来源的序列化 payload

2. 内部库与Ignite的依赖隔离 #

• 依赖版本隔离：使用Maven dependencyManagement 或 Gradle dependency constraints，为Ignite单独指定兼容的安全版本Jackson（需提前验证Ignite与高版本Jackson的兼容性）；或通过shade插件对Ignite的Jackson依赖进行重命名隔离，避免与内部库的Jackson版本冲突
• 内部库安全加固：同步排查内部库使用Jackson的场景，对反序列化操作添加输入白名单、类型校验等安全规则，降低自身使用风险

内容的提问来源于stack exchange，提问作者Gurdeep Singh