CVE-2020-5411 in Jackson
Zusammenfassung
von VulDB • 05.06.2026
Wenn die Standardtypisierung aktiviert ist, enthielt Jackson eine Deserialisierungsanfälligkeit, die zu einer beliebigen Codeausführung führen konnte. Jackson behob diese Schwachstelle durch das Schwarzenlisten bekannter „Deserialisierungsgadgets“. Spring Batch konfiguriert Jackson mit global aktivierter Standardtypisierung, was bedeutet, dass über den vorherigen Exploit willkürlicher Code ausgeführt werden kann, wenn alle der folgenden Bedingungen erfüllt sind: * Die Jackson-Unterstützung von Spring Batch wird genutzt, um die ExecutionContext eines Jobs zu serialisieren. * Ein böswilliger Benutzer erhält Schreibzugriff auf das Datenbankspeichersystem, das vom JobRepository verwendet wird (wo die zu deserialisierenden Daten gespeichert werden). Um sich vor dieser Art von Angriff zu schützen, verhindert Jackson, dass eine Reihe nicht vertrauenswürdiger Gadget-Klassen deserialisiert werden. Spring Batch sollte proaktiv gegen das Blockieren unbekannter „Deserialisierungsgadgets“ vorgehen, wenn Standardtypisierung aktiviert wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.