CVE-2020-5411 in Jackson
Riassunto
di VulDB • 15/06/2026
Quando configurato per abilitare la tipizzazione predefinita (default typing), Jackson presentava una vulnerabilità di deserializzazione che poteva portare all'esecuzione arbitraria di codice. Jackson ha risolto questa vulnerabilità inserendo in blacklist i noti "gadget di deserializzazione". Spring Batch configura Jackson con la global default typing abilitata, il che significa che tramite la precedente exploit è possibile eseguire codice arbitrario se sono soddisfatte tutte le seguenti condizioni: * Il supporto Jackson di Spring Batch viene utilizzato per serializzare l'ExecutionContext di un job. * Un utente malintenzionato ottiene accesso in scrittura allo store dei dati utilizzato da JobRepository (dove vengono memorizzati i dati da deserializzare). Al fine di proteggersi da questo tipo di attacco, Jackson impedisce la deserializzazione di un insieme di classi gadget non attendibili. Spring Batch dovrebbe adottare misure proattive per bloccare i "gadget di deserializzazione" sconosciuti quando abilita la default typing.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.