哪个版本的jackson-databind没有远程执行漏洞？答案

【问题标题】：Which version of jackson-databind does not have remote execution vulnerability?哪个版本的jackson-databind没有远程执行漏洞？
【发布时间】：2020-03-04 08:58:12
【问题描述】：

我无法在网上找到哪个版本的 jackson-databind 与没有远程执行漏洞的 Spring 应用程序一起使用？任何帮助表示赞赏。

【问题讨论】：

这能回答你的问题吗？ Jackson registerSubtypes not working in Kotlin
在链接的文章中有一个On Jackson CVEs: Don’t Panic — Here is what you need to know 指向Jackson 2.10 features。它告诉版本2.10 它应该被修复。
2.10 的主要目标回顾过去，这个次要版本有 3 个主要目标： 1. “解决不断增长的“无尽 CVE 补丁”问题，一系列修复报告的 CVE 与“多态反序列化”问题（在“关于 Jackson CVE...”中描述）导致安全工具强制 Jackson 升级。2.10 现在包括希望解决此问题的“安全默认键入”。”
谢谢！我很高兴能帮上忙。版本2.10.0 真的很好！您绝对应该将Jackson 升级到此版本。我添加了明确的答案，只是为了让每个人都清楚哪个版本开始处理所有漏洞。
@michalziober 不要投票太多，否则我们的帐户可能会被标记：p

标签： jackson

【解决方案1】：

自版本 2.10.0 起，此问题通过添加新方法集得到解决：activateDefaultTyping，而不是已弃用的方法集 enableDefaultTyping。这个问题也是这个版本发布的原因之一。

2.10 的主要目标

回首过去，这个小版本有 3 个主要目标：

解决“无尽的 CVE 补丁”日益严重的问题，一个针对报告的与“多态”相关的 CVE 的修复流反序列化”问题（在“On Jackson CVEs…”中描述）导致安全工具迫使杰克逊升级。 2.10 现在包括希望解决此问题的“安全默认键入”。

您可以在这篇文章中找到更多信息：Jackson 2.10 features。

示例代码：

import com.fasterxml.jackson.databind.ObjectMapper;
import com.fasterxml.jackson.databind.SerializationFeature;
import com.fasterxml.jackson.databind.json.JsonMapper;
import com.fasterxml.jackson.databind.jsontype.BasicPolymorphicTypeValidator;
import com.fasterxml.jackson.databind.jsontype.PolymorphicTypeValidator;

import java.util.ArrayList;

public class JsonPathApp {

    public static void main(String[] args) throws Exception {
        PolymorphicTypeValidator ptv = BasicPolymorphicTypeValidator.builder()
                .allowIfSubType(MyValue.class)
                .allowIfSubType(ArrayList.class)
                .build();

        ObjectMapper mapper = JsonMapper.builder()
                .enable(SerializationFeature.INDENT_OUTPUT)
                .activateDefaultTyping(ptv, ObjectMapper.DefaultTyping.NON_FINAL).build();
    }
}

【讨论】：