CVE-2020-5411
Açıklama
Varsayılan yazım (default typing) etkinleştirilecek şekilde yapılandırıldığında, Jackson rastgele kod çalıştırılmasına yol açabilecek bir serileştirme hatası içeriyordu. Jackson, bilinen "deserialization gadget"ları kara listeye alarak bu güvenlik açığını giderdi. Spring Batch, Jackson'ı küresel varsayılan yazım etkin olacak şekilde yapılandırır; bu da aşağıdaki durumların tamamı doğruysa önceki istismar aracılığıyla rastgele kodun çalıştırılabileceği anlamına gelir: * Bir işin ExecutionContext'ini serileştirmek için Spring Batch'in Jackson desteği kullanılıyorsa. * Kötü niyetli bir kullanıcı, JobRepository tarafından kullanılan veri deposuna (serileştirilecek verilerin saklandığı yer) yazma erişimi kazanmışsa. Bu tür bir saldırıya karşı koruma sağlamak amacıyla Jackson, güvenilmeyen bir dizi gadget sınıfının serileştirilmesini engeller. Spring Batch, varsayılan yazımı etkinleştirirken bilinmeyen "deserialization gadget"ların engellenmesi konusunda proaktif olmalıdır.
Nasıl düzeltilir
- org.springframework.batch:spring-batch-core4.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| broadcom spring_batch | 4.0.0 ≤ v ≤ 4.0.4, 4.1.0 ≤ v ≤ 4.1.4, 4.2.0 ≤ v ≤ 4.2.2 | — |
| org.springframework.batch:spring-batch-coreMaven | 4.0.0 ≤ v < 4.2.3 | 4.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.