动态代码评估：不安全的反序列化（Spring Boot 2） - 如何避免与执行器相关的强化问题，还是误报？

Question

我正在使用以下执行器依赖项

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-actuator</artifactId>
</dependency>

使用弹簧靴 2，

<parent>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-parent</artifactId>
    <version>2.0.5.RELEASE</version>
</parent>

任何与 fortify 相关的漏洞的 cmets，或者我们是否有任何理由获得关于 fortify 问题的误报。

Answer 1

我怀疑 Fortify 提出的问题不是因为 spring-boot-starter-actuator 本身，而是因为它对包含 deserialization of untrusted data vulnerability 的 Jackson 的传递依赖。但是，对于易受攻击的应用程序，非默认且可能非常不寻常的一组情况必须是真实的。您可以通过 Jackson 的作者this blog post 了解有关这些情况的更多信息。 Spring Boot 的 Actuator 不启用多态类型处理，因此，如果 Fortify 警告是由于 Jackson 引起的，则为误报。

Jackson 2.9.7 中的漏洞是 fixed，通过阻止某些类进行多态反序列化。 Spring Boot 2.0.6 和 2.1.0 默认使用 Jackson 2.9.7。