spring-boot-actuator - 动态代码评估 : Unsafe Deserialization (Spring Boot 2) - how to avoid actuator related fortify issue, 还是误报？

Question

我正在使用以下执行器依赖项

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-actuator</artifactId>
</dependency>

带有 Spring Boot 2，

<parent>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-parent</artifactId>
    <version>2.0.5.RELEASE</version>
</parent>

对强化相关漏洞的任何评论，或者我们是否有任何理由获得有关强化问题的误报。

Answer 1

我怀疑 Fortify 提出这个问题不是因为 spring-boot-starter-actuator 本身，而是因为它对 Jackson 的传递依赖，其中包含 deserialization of untrusted data vulnerability 。然而，要使应用程序容易受到攻击，必须存在非默认且可能非常不寻常的一组情况。您可以在 this blog post 中了解有关这些情况的更多信息。来自 jackson 的作者。 Spring Boot 的 Actuator 不支持多态类型处理，因此，如果 Fortify 警告是由 Jackson 引起的，那么它就是误报。

该漏洞已为 fixed在 Jackson 2.9.7 中，通过阻止某些类进行多态反序列化。 Spring Boot 2.0.6 和 2.1.0 默认使用 Jackson 2.9.7。