文章揭示了Jackson库存在的安全漏洞，该漏洞可能导致远程代码执行。阿里云安全团队首先发现了这个问题并向Jackson官方报告。受影响的jackson-databind版本在2.9.10.6之前，而2.9.10.6及以上版本已修复此问题。作者还分享了修复建议，并提供了一份全面的Java学习资源，旨在帮助开发者提升技能。
其实上它的底层原理是利用某些类的反序列化利用链，可以绕过 jackson-databind 黑名单限制，远程攻击者通过向使用该组件的web服务接口发送特制请求包（精心构造的JSON），可以造成远程代码执行影响。
漏洞评级
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 有限 |
| 漏洞评分 | 75 |
对此评级没有概念？那就来个参照物比一比嘛，我把Fastjson上次（2020-05）的安全漏洞评级给你做对比：
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 漏洞评分 | 75 |
有限和广泛的的区别到底有多大，用文字不太好描述。打个比方，我觉得可类比艾滋病和新冠病毒的区别，前者对社会生态影响并不大，而后者恨不得让全球都停摆了，即使它致死率还远没有前者那么高，这就是影响范围的“力量”。
影响版本
jackson-databind < 2.9.10.6
因为现在大家都基于Spring Boot开发，针对版本号我<
最低0.47元/天 解锁文章
551
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
