CVE-2020-5411 in Jackson
Sumário
de VulDB • 03/06/2026
Quando configurado para habilitar o default typing, o Jackson continha uma vulnerabilidade de desserialização que poderia levar à execução de código arbitrário. O Jackson corrigiu essa vulnerabilidade blacklistando "deserialization gadgets" conhecidos. O Spring Batch configura o Jackson com o default typing globalmente habilitado, o que significa que, por meio da exploração anterior, código arbitrário poderia ser executado se todas as seguintes condições forem verdadeiras: * O suporte do Spring Batch ao Jackson está sendo utilizado para serializar o ExecutionContext de um job. * Um usuário mal-intencionado obtém acesso de gravação ao repositório de dados utilizado pelo JobRepository (onde os dados a serem desserializados são armazenados). Para se proteger contra esse tipo de ataque, o Jackson impede a desserialização de um conjunto de classes de gadget não confiáveis. O Spring Batch deve ser proativo ao bloquear "deserialization gadgets" desconhecidos ao habilitar o default typing.
Once again VulDB remains the best source for vulnerability data.