java.jackson-unsafe-deserialization

Beim Marshalling/Unmarshalling von JSON zu Java-Objekten mit Jackson ist das Aktivieren von Default Typing gefährlich und kann zu RCE führen. Kontrolliert ein Angreifer `$JSON`, kann er bösartiges JSON einspeisen, das die unsichere Deserialisierung ausnutzt. Vermeiden Sie zur Vorbeugung Default Typing (global oder über „Per-class“-Annotationen) und vermeiden Sie bei Klassen für die Jackson-basierte Deserialisierung `Object` und andere gefährliche Typen als Membervariablentypen.

When using Jackson to marshall/unmarshall JSON to Java objects, enabling default typing is dangerous and can lead to RCE. If an attacker can control `$JSON` it might be possible to provide a malicious JSON which can be used to exploit unsecure deserialization. In order to prevent this issue, avoid to enable default typing (globally or by using "Per-class" annotations) and avoid using `Object` and other dangerous types for member variable declaration which creating classes for Jackson based deserialization.

Avec Jackson, pour convertir du JSON en objets Java et inversement, activer le default typing est dangereux et peut conduire à une exécution de code à distance (RCE). Si un attaquant contrôle `$JSON`, il peut soumettre un JSON malveillant pour exploiter une désérialisation non sécurisée. Pour prévenir ce problème, n'activez pas le default typing (globalement ni via des annotations « per-class ») et évitez `Object` et autres types dangereux pour déclarer les membres des classes destinées à la désérialisation Jackson.

Jackson で JSON と Java オブジェクトの間で変換を行う際に default typing を有効にするのは非常に危険であり、リモートコード実行につながる恐れがあります。攻撃者が `$JSON` を制御できる場合、悪意のある JSON を送信して安全でないデシリアライズを悪用できてしまいます。対策：default typing（グローバルまたはクラス単位のアノテーション）を有効にしないようにし、Jackson のデシリアライズ用にクラスを設計する際は、`Object` などの危険な型でメンバー変数を宣言しないでください。

Jackson으로 JSON과 Java 객체 간에 변환할 때 default typing을 활성화하는 것은 매우 위험하며 원격 코드 실행으로 이어질 수 있습니다. 공격자가 `$JSON`을 제어할 수 있다면 악성 JSON을 제출해 안전하지 않은 역직렬화를 악용할 수 있습니다. 대응 방안: default typing(전역 또는 클래스별 어노테이션)을 활성화하지 말고, Jackson 역직렬화용 클래스를 설계할 때 멤버 변수를 `Object` 같은 위험한 타입으로 선언하지 마십시오.

При преобразовании JSON в объекты Java с помощью Jackson включённый default typing опасен и может привести к удалённому выполнению кода. Если злоумышленник контролирует `$JSON`, он сможет передать вредоносный JSON и воспользоваться небезопасной десериализацией. Чтобы этого избежать, не включайте default typing (ни глобально, ни аннотациями по классам) и при создании классов для десериализации Jackson не объявляйте поля типами `Object` и другими опасными типами.

使用 Jackson 在 JSON 与 Java 对象间转换时，启用 default typing 非常危险，可能导致远程代码执行。若攻击者能控制 `$JSON`，就可能提交恶意 JSON 利用不安全的反序列化。防范措施：避免启用 default typing（全局或按类注解），并为 Jackson 反序列化设计类时避免用 `Object` 等危险类型声明成员变量。

使用 Jackson 在 JSON 與 Java 物件間轉換時，啟用 default typing 非常危險，可能導致遠端程式碼執行。若攻擊者能控制 `$JSON`，就可能提交惡意 JSON 利用不安全的還原序列化。防範措施：避免啟用 default typing（全域或按類註解），並為 Jackson 還原序列化設計類時避免用 `Object` 等危險型別宣告成員變數。