CVE-2020-5411 in Jackson
الملخص
بحسب VulDB • 07/06/2026
عند تكوينه لتمكين الكتابة الافتراضية (default typing)، كان جاكسون يحتوي على ثغرة في عملية إلغاء التسلسل (deserialization) يمكن أن تؤدي إلى تنفيذ تعليمات برمجية تعسفية. أصلح مطورو جاكسون هذه الثغرة من خلال وضع قائمة سوداء لـ "أدوات إلغاء التسلسل" المعروفة ("deserialization gadgets"). يقوم Spring Batch بتكوين جاكسون مع تفعيل الكتابة الافتراضية على مستوى النظام، مما يعني أنه يمكن تنفيذ تعليمات برمجية تعسفية عبر الاستغلال المذكور سابقاً إذا تحققت جميع الشروط التالية: * يتم استخدام دعم جاكسون في Spring Batch لتسلسل (serialize) سياق التنفيذ الخاص بالمهمة (ExecutionContext). * يحصل مستخدم خبيث على صلاحيات الكتابة إلى مخزن البيانات المستخدم بواسطة JobRepository (حيث تُخزَّن البيانات المراد إلغاء تسلسلها). ولحماية النظام من هذا النوع من الهجمات، يمنع جاكسون إلغاء تسلسل مجموعة محددة مسبقاً من فئات الأدوات غير الموثوقة. وينبغي لـ Spring Batch أن يتخذ إجراءات استباقية لمنع "أدوات إلغاء التسلسل" غير المعروفة عند تفعيل الكتابة الافتراضية.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.