CVE-2020-5411
Təsvir
Default typing aktiv edildikdə, Jackson-da ixtiyari kodun icrasına səbəb ola biləcək deserializasiya zəifliyi aşkar edilmişdir. Jackson bu zəifliyi məlum "deserialization gadgets"-ləri qara siyahıya salmaqla aradan qaldırmışdır. Spring Batch, Jackson-ı qlobal default typing aktiv edilmiş şəkildə konfiqurasiya edir və bu o deməkdir ki, əgər aşağıdakı şərtlərin hamısı ödənirsə, əvvəlki eksployt vasitəsilə ixtiyari kod icra edilə bilər: * Spring Batch-in Jackson dəstəyi işin ExecutionContext-ni serialize etmək üçün istifadə olunursa. * Zərərli istifadəçi JobRepository tərəfindən istifadə olunan məlumat anbarına (deserializasiya olunacaq məlumatların saxlandığı yerə) yazı giriş əldə edibsə. Bu növ hücumdan qorunmaq üçün Jackson etibarsız gadget siniflərinin deserializasiyasının qarşısını alır. Spring Batch, default typing-i aktivləşdirərkən naməlum "deserialization gadgets"-lərin bloklanmasında proaktiv davranmalıdır.
Necə düzəltmək olar
- org.springframework.batch:spring-batch-core4.2.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| broadcom spring_batch | 4.0.0 ≤ v ≤ 4.0.4, 4.1.0 ≤ v ≤ 4.1.4, 4.2.0 ≤ v ≤ 4.2.2 | — |
| org.springframework.batch:spring-batch-coreMaven | 4.0.0 ≤ v < 4.2.3 | 4.2.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.