Jackson-databind PolymorphicTypeValidator Bypass via Generic Type Parameters

漏洞概述 漏洞名称: PolymorphicTypeValidator bypass via generic type parameters in jackson-databind allows arbitrary class instantiation 漏洞描述: Jackson-databind 的 (PTV) 是保护多态反序列化的主要安全机制。当启用多态类型并包含泛型参数时， 仅验证原始容器类名（ 之前的子字符串）与配置的 PTV。如果容器类型被批准，方法会解析完整的规范类型字符串，并通过 返回完全参数化的类型，而不会验证嵌套类型参数。嵌套类型参数随后被解析、实例化，并作为反序列化的一部分进行注册。 攻击者可以控制类型 ID，从而将受限类作为允许容器的泛型类型参数。例如， 仅在 被允许列表时通过 PTV 检查。 通过 实例化，其属性从攻击者控制的 JSON 中设置。这完全绕过了显式配置的 PTV 允许列表。 影响范围 绕过 PTV 允许列表：包括推荐的 ，配置为使用名称前缀允许规则。 任意类实例化：任何可分配给容器元素/参数位置的类，使用攻击者控制的属性值（后注入）。 潜在未授权远程代码执行：当类具有可利用的副作用（JNDI 查找、JDBC 连接池小工具、 风格加载器等）时，存在于类路径上。 受影响的版本： 2.10.0 - 2.18.7 3.0.0 - 3.1.3 修复方案 在 2.18.8、2.21.4 和 3.1.4 中，通过更改 提交 43d665511 修复了该漏洞。修复添加了对每个非平凡类型参数（以及作为参数出现的数组元素类型）的递归验证，通过完整的 PTV 链，带有记录的例外，如 （通配符解析）和 类型。 Proof of Concept (POC) Variant payloads (All bypass an ArrayList/HashMap allow-list): Patches 2.18.8 2.21.4 3.1.4

目標達成すべての支援者に感謝 — 100%達成しました！

Jackson-databind PolymorphicTypeValidator Bypass via Generic Type Parameters

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Jackson-databind PolymorphicTypeValidator Bypass via Generic Type Parameters

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！