CVE-2020-5411 in Jackson
要約
〜によって VulDB • 2026年05月17日
デフォルトのタイピングを有効にするように構成されている場合、Jacksonには任意のコード実行につながる可能性がある逆シリアライズ脆弱性が存在しました。Jacksonは、既知の「逆シリアライズ・ガジェット」をブラックリストに登録することでこの脆弱性を修正しました。Spring Batchは、グローバルなデフォルトのタイピングが有効な状態でJacksonを構成するため、前述の攻撃が成功し、以下の条件がすべて満たされる場合、任意のコードが実行される可能性があります。 * Spring BatchのJacksonサポートを使用してジョブのExecutionContextをシリアライズしている。 * 悪意のあるユーザーが、逆シリアライズされるデータが保存されるJobRepositoryで使用されるデータストアへの書き込みアクセスを取得する。この種の攻撃から保護するために、Jacksonは信頼できないガジェットクラスのセットが逆シリアライズされるのを防ぎます。Spring Batchは、デフォルトのタイピングを有効にする際に、未知の「逆シリアライズ・ガジェット」をブロックする対策を講じるべきです。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.