java - 如何解决 sonatype-2017-0312 漏洞

Question

Sonatype Nexus IQ 服务器组件扫描表明 Jackson-Databind 版本 2.9.9 库存在漏洞问题，代码为 sonatype-2017-0312。

jackson-databind 容易受到远程代码执行 (RCE) 的攻击。BeanDeserializerFactory 类中的 createBeanDeserializer() 函数允许对不受信任的 Java 对象进行反序列化。远程攻击者可以通过上传恶意序列化对象来利用这一点，如果应用程序试图对其进行反序列化，则会导致 RCE。

我尝试使用 redhat 版本的 Jackson-databind 和 sonatype 推荐的不同类型，但最后我们现在面临使用 jackson-databind-2.9.8.redhat-00004.jar 并以两个漏洞 CVE-2019-结束12086 和 sonatype-2017-0312。

标签： javasecurityjackson-databind

Answer 1

作为一种解决方案，将preferred-json-mapper 的gson 设置为替代的json 实现提供者。

对于 Maven 依赖管理：

    <dependency>
        <groupId>com.google.code.gson</groupId>
        <artifactId>gson</artifactId>
        <version>2.8.5</version>
    </dependency>

还有其他的：Jackson 库、Google-Gson 库、JSON-lib、Flexjson、json-io、genson、JSONiJ 库。