前言
今天中午收到我司安全部发了一封邮件：Jackson存在安全漏洞。查了一下，这件事并不算很新鲜了（已经过了10天的样子），本文来聊聊吧。
说起来还蛮戏剧化：阿里云向Jackson官方提交了一个Jackson序列化安全漏洞。众所周知，在国内关于JSON库使用有两大主要阵营：国际著名的Jackson库和国内阿里巴巴出品的Fastjson。
同样的功能定位，不存在竞争想想也觉得不可能嘛。所以当我看到这个漏洞竟是阿里云上报的，就觉得这关系还蛮微妙呢，默默的腹黑了3秒钟，哈哈。
附：FasterXML/jackson-databind是一个简单基于Java应用库，Jackson可以轻松的将Java对象转换成json对象和xml文档，同样也可以将json、xml转换成Java对象。Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。
正文
熟悉A哥的小伙伴知道，自从Fastjson上次爆出重大安全漏洞之后，我彻底的投入到了Jackson的阵营，工作中也慢慢去Fastjson化。
关于本次漏洞
2020年8月25日，jackson-databind（官方）发布了Jackson-databind序列化漏洞的安全通告，漏洞编号为CVE-2020-24616。
漏洞详情
该漏洞源于不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统执行任意代码。
其实上它的底层原理是利用某些类的反序列化利用链，可以绕过 jackson-databind 黑名单限制，远程攻击者通过向使用该组件的web服务接口发送特制请求包（精心构造的JSON），可以造成远程代码执行影响。
漏洞评级
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 有限 |
| 漏洞评分 | 75 |
对此评级没有概念？那就来个参照物比一比嘛，我把Fastjson上次（2020-05）的安全漏洞评级给你做对比：
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 漏洞评分 | 75 |
有限和广泛的的区别到底有多大，用文字不太好描述。打个比方，我觉得可类比艾滋病和新冠病毒的区别，前者对社会生态影响并不大，而后者恨不得让全球都停摆了，即使它致死率还远没有前者那么高，这就是影响范围的“力量”。
影响版本
jackson-databind < 2.9.10.6
因为现在大家都基于Spring Boot开发，针对版本号我扩展一下，方便你对号入座哈：
| Spring Boot版本 | Jackson版本 |
|---|---|
| 1.5.22.RELEASE | 2.8.x |
| 2.0.9.RELEASE | 2.9.x |
| 2.1.16.RELEASE | 2.9.10.5 |
| 2.2.9.RELEASE | 2.10.x |
| 2.3.3.RELEASE | 2.11.x |
Spring Boot2.1.x应该是现行主流使用版本，因此从版本号上来看，大概率都在此次漏洞的射程范围内。
最后
针对最近很多人都在面试，我这边也整理了相当多的面试专题资料，也有其他大厂的面经。希望可以帮助到大家。
下面的面试题答案都整理成文档笔记。也还整理了一些面试资料&最新2021收集的一些大厂的面试真题（都整理成文档，小部分截图），有需要的可以戳这里免费领取
最新整理电子书
m/vip204888/java-p7)
[外链图片转存中…(img-epGIQfA1-1628298693400)]
最新整理电子书