CVE-2020-5411 in Jackson
Résumé
par VulDB • 05/06/2026
Lorsqu'il est configuré pour activer le typage par défaut (default typing), Jackson présentait une vulnérabilité de désérialisation susceptible d'entraîner l'exécution arbitraire de code. Jackson a corrigé cette vulnérabilité en appliquant un blacklist des « gadgets » de désérialisation connus. Spring Batch configure Jackson avec le typage par défaut global activé, ce qui signifie que, via l'exploitation précédente, du code arbitraire pourrait être exécuté si les conditions suivantes sont réunies : * Le support Jackson de Spring Batch est utilisé pour sérialiser l'ExecutionContext d'un job. * Un utilisateur malveillant obtient un accès en écriture au magasin de données utilisé par le JobRepository (où les données à désérialiser sont stockées). Afin de se protéger contre ce type d'attaque, Jackson empêche la désérialisation d'un ensemble de classes gadgets non fiables. Spring Batch devrait adopter une approche proactive pour bloquer les « gadgets » de désérialisation inconnus lors de l'activation du typage par défaut.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.