jackson漏洞修复&springboot项目指定jar依赖的版本
haoteby 2025-01-18 19:58 4 浏览
问题描述
2020年12月17日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.8存在反序列化远程代码执行漏洞（CVE-2020-35490/CVE-2020-35491）。利用该漏洞，攻击者可控制服务器。
即jackson的版本低于2.9.10.8的都会存在此漏洞，换言之只要高于，即可修复
安全版本：
jackson-databind >= 2.9.10.8 (尚未推出)
jackson-databind >= 2.10.0我的项目
我的项目为springboot,版本如下
其中jackson的默认版本如下
简单理一下依赖关系 首先spring-boot-starter-web会依赖spring-boot-starter-json,而spring-boot-starter-json会依赖jackson， 只有指定jackson的版本高于当前2.9.7这个版本，即可修复该漏洞
修复漏洞即修改springboot中指定jar的版本
我们点开spring-boot-starter-parent会发现它会依赖spring-boot-dependencies，而spring-boot-dependencies中就定义了springboot需要的所有的jar的默认版本，这也是为什么我们不需要在springboot项目中指定某个jar的版本，但是依然可以使用这个jar的原因。
这个是spring-boot-dependencies中的<properties>
<properties>
<jackson.version>2.9.7</jackson.version>、
</properties>
我们在<properties>中发现了，jackson的版本，根据maven的最短路径原则，我们只需要在自己项目中的pom文件中的 <properties>指定jackson的版本即可解决。
下边是自己项目中的 <properties>
<properties>
<project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
<project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding>
<java.version>1.8</java.version>
<jackson.version>2.12.4</jackson.version>
</properties>刷新maven，观察结果
jackson的版本已经变成我们在<properties>中指定的版本了。
相关推荐
- 「乌龟」龟壳对比了几款伤害统计插件，最好用的是它?
-
乌龟服伤害统计插件虽然我们熟悉的Details和Recount，在乌龟服暂时没有很好的迁移，...
- 「听风」WOW网易有爱整合插件功能拆解(上)
-
魔兽小伙伴使用的怀旧服插件一般为大脚、网易有爱、ElvUI等，昨天将大脚整合包插件梳理之后发现插件清晰好多，虽然有些界面还是找不到设置方法，需要花些时间逐个看一下。网易有爱考虑到有一大部小伙伴使用网易...
- 教你使用iOS8插件iVeency 让电脑控制你的iPhone
-
【搞科技教程】iOS8越狱后安装什么插件好？对于一些高玩越狱族来说，他们一直在期待着远程监控插件Veency的更新，在昨日，Cydia之父终于放出了Veency的更新。此次更新支持iOS8完美越狱。来...
- 宝塔面板安全软件/插件有哪些?（宝塔面板5.9 安装命令）
-
许多新手站长在选择服务器管理面板的时候都会考虑包含哪些安全插件。对于安装宝塔Linux面板作为服务器管理软件的用户。建议使用宝塔自带的安全软件。一、免费使用...
- Chrome和火狐插件让数以百万计用户隐私数据泄露
-
7月21日消息，流行浏览器诸如广告拦截等扩展功能，已经遭利用而让数以百万计使用Chrome和火狐（Firefox）的消费者个人数据泄露。遭遇泄露的这些个人数据，不仅涉及他们的浏览历史，而且还包括他们存...
- 如何使用Elasticsearch插件改进性能
-
撰写：PierrePoitevin，高级软件工程师|DanielGeng，软件工程师|萧湖李，工程经理（第一部分）问题TinderEng团队最近一直在致力于将机器学习（ML）算法集成到Tind...
- RL必备插件:ERT--游戏内的战斗分析插件
-
ExorsusRaidTools插件介绍ExorsusRaidTools(以下简称ERT)是来自EUHowlingFjord服务器的Exorsus(NGA俗称3K3)公会开发的一款功能非...
- 魔兽世界7.0军团再临 多功能姓名版插件推荐
-
关键词>>魔兽世界,插件,姓名版,血条,wow魔兽世界7.0军团再临多功能姓名版插件推荐看着新版姓名版不习惯？来看看这款Kui_Nameplates姓名版插件吧！还带技能监视功能哟！K...
- DTU配电自动化站所终端通讯接口有哪些 主控单元可配置多少插件?
-
世东电气HS-6302/DTU配电自动化站所终端通讯接口:...
- 魔兽世界:毒蛇神殿踏潮者很难?5张图教你学会如何通关
-
作为一个最会画画的魔兽世界辣鸡小编，我今天又来分享技术贴了。我们继续用图文并茂...
- Aliexpress速卖通销量监控和一键复制运费模板Chrome插件v0.1
-
发现一个很强大的速卖通插件，支持所有速卖通产品的5天销量监控和一键复制运费模板功能，地址：https://github.com/YouthCodeChen/Aliexpress-Plugin...
- 魔兽世界boss技能提示?魔兽世界DBM插件?
-
魔兽世界boss技能提示可以通过使用DBM插件来实现，DBM是一款老牌首领报警插件。DBM的主要主要功能包括：包含所有团队级首领的警报模块；一些模块具有强大的功能，比如洛欧塞布的治疗者监视器，该功能允...
- 老学长分享10个最强chrome浏览器插件!瞬间开发效率棒棒哒
-
今天老学长给大家推荐几款超强大的谷歌插件！用过都说好！1、Tampermonkey（油猴插件）Tampermonkey（油猴脚本）是一款免费的浏览器扩展和最为流行的用户脚本管理器，它适用于Chro...
- 电脑浏览器无法安装控件问题的解决办法
-
前几天碰到一个监控设备在浏览器浏览时无法找到控件的问题，调整了好几次才改好，所以今天就来分享一下这个问题的解决办法。电脑在日常生活和办公中有可能需要下载安装一些特殊的控件，比如监控软件和各个银行的登录...
- waves11:盘点waves的Meters表类插件
-
俗话说：混音就是"听，不要去看"。作为一门关于声音的艺术，混音的全部内容都关于听的。尽管如此，我们依然能够在混音场所中见到各种仪表，而它们的存在有其然的原因。仪表可以用在混音的很多阶段...