从漏洞发现到修复：备份一体机Jackson反序列化安全问题解决实录

IT那活儿 2025-10-21

174

点击上方“IT那活儿”公众号--专注于企业全栈运维技术分享，不管IT什么活儿，干就完了！！！

一

发现漏洞

日常巡检发现一台阿里云ECS生产主机部署的天融信备份工具中存在Jackson最新反序列化漏洞（CVE-2019-14439），该漏洞可对CVE-2019-12384漏洞绕过，攻击者可以通过构造的请求包在受影响的 Jackson 服务器上进行远程代码执行。

如下图：

根据阿里云安全中心提示，登录系统排查发现该主机存3个jar文件，根据安装路径存确实所属“天融信”备份一体机备份文件。

如下图（登录主机查看到3个jar文件）：

二

漏洞修复

2.1 第一时间暂停该备份服务、卸载删除安装目录

如下图：

2.2 安装厂家提供的最新插件进行漏洞修复

修复替换过程如图：

备份插件升级完成后，启动备份服务，并验证备份服务端口，测试备份情况。

三

总结

此次“Jackson反序列化漏洞”是由天融信备份插件中3个jar文件暴露出来的，升级替换最新插件后，备份任务恢复正常。

再次通过阿里云安全中心漏洞扫描Jackson最新反序列化漏洞已修复，后续将持续观察该漏洞情况。

END

文章转载自IT那活儿，如果涉嫌侵权，请发送邮件至：contact@modb.pro进行举报，并提供相关证据，一经查实，墨天轮将立刻删除相关内容。