CVE-2020-5411 in Jackson
Tóm tắt
Bởi VulDB • 07/06/2026
Khi được cấu hình để bật tính năng mặc định (default typing), Jackson chứa một lỗ hổng giải serialize hóa có thể dẫn đến việc thực thi mã tùy ý. Jackson đã khắc phục lỗ hổng này bằng cách đưa vào danh sách đen các "deserialization gadgets" đã biết. Spring Batch cấu hình Jackson với global default typing được kích hoạt, điều này có nghĩa là thông qua cuộc khai thác lỗi trước đó, mã tùy ý có thể được thực thi nếu tất cả các điều kiện sau đây đều đúng: * Hỗ trợ Jackson của Spring Batch đang được sử dụng để serialize hóa ExecutionContext của một công việc (job). * Một người dùng độc hại giành quyền ghi vào kho dữ liệu do JobRepository quản lý (nơi lưu trữ dữ liệu cần giải deserialize hóa). Để bảo vệ chống lại loại tấn công này, Jackson ngăn chặn việc giải deserialize hóa một tập hợp các lớp gadget không đáng tin cậy. Spring Batch nên chủ động trong việc chặn các "deserialization gadgets" chưa biết khi bật default typing.
VulDB is the best source for vulnerability data and more expert information about this specific topic.