再爆安全漏洞,中信银行Java笔试题库

Posted 程序员超时空

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了再爆安全漏洞,中信银行Java笔试题库相关的知识,希望对你有一定的参考价值。

今天中午收到我司安全部发了一封邮件:Jackson存在安全漏洞。查了一下,这件事并不算很新鲜了(已经过了10天的样子),本文来聊聊吧。

说起来还蛮戏剧化:阿里云向Jackson官方提交了一个Jackson序列化安全漏洞。众所周知,在国内关于JSON库使用有两大主要阵营:国际著名的Jackson库国内阿里巴巴出品的Fastjson

同样的功能定位,不存在竞争想想也觉得不可能嘛。所以当我看到这个漏洞竟是阿里云上报的,就觉得这关系还蛮微妙呢,默默的腹黑了3秒钟,哈哈。

附:FasterXML/jackson-databind是一个简单基于Java应用库,Jackson可以轻松的将Java对象转换成json对象和xml文档,同样也可以将json、xml转换成Java对象。Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。

正文

熟悉A哥的小伙伴知道,自从Fastjson上次爆出重大安全漏洞之后,我彻底的投入到了Jackson的阵营,工作中也慢慢去Fastjson化。

关于本次漏洞

2020年8月25日,jackson-databind(官方)发布了Jackson-databind序列化漏洞的安全通告,漏洞编号为CVE-2020-24616。

漏洞详情

该漏洞源于不安全的反序列化。远程攻击者可通过精心构造的恶意载荷利用该漏洞在系统执行任意代码。

其实上它的底层原理是利用某些类的反序列化利用链,可以绕过 jackson-databind 黑名单限制,远程攻击者通过向使用该组件的web服务接口发送特制请求包(精心构造的JSON),可以造成远程代码执行影响。

漏洞评级

评定方式等级
威胁等级高危
影响面有限
漏洞评分75

对此评级没有概念?那就来个参照物比一比嘛,我把Fastjson上次(2020-05)的安全漏洞评级给你做对比:

评定方式等级
威胁等级高危
影响面广泛
漏洞评分75

有限和广泛的的区别到底有多大,用文字不太好描述。打个比方,我觉得可类比艾滋病和新冠病毒的区别,前者对社会生态影响并不大,而后者恨不得让全球都停摆了,即使它致死率还远没有前者那么高,这就是影响范围的“力量”。

影响版本

jackson-databind < 2.9.10.6

因为现在大家都基于Spring Boot开发,针对版本号我扩展一下,方便你对号入座哈:

Spring Boot版本Jackson版本
1.5.22.RELEASE2.8.x
2.0.9.RELEASE2.9.x
2.1.16.RELEASE2.9.10.5
2.2.9.RELEASE2.10.x
2.3.3.RELEASE2.11.x

Spring Boot2.1.x应该是现行主流使用版本,因此从版本号上来看,大概率都在此次漏洞的射程范围内。

安全版本

jackson-databind 2.9.10.6或者2.10.x及以后版本

故事时间轴

2020-08-05,阿里云安全组同学向Jackson官方上报了这个安全漏洞:

最后

针对最近很多人都在面试,我这边也整理了相当多的面试专题资料,也有其他大厂的面经。希望可以帮助到大家。

最新整理面试题

上述的面试题答案都整理成文档笔记。
也还整理了一些面试资料&最新2021收集的一些大厂的面试真题,有需要的可以点击这里,免费获取

最新整理电子书

最新整理大厂面试文档

-ZykU6SX6-1628435413036)]

最新整理大厂面试文档

[外链图片转存中…(img-Y0JPaZaG-1628435413039)]

以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持。

以上是关于再爆安全漏洞,中信银行Java笔试题库的主要内容,如果未能解决你的问题,请参考以下文章

一文详解:中信银行java笔试题库

一文详解:中信银行java笔试题库

中信银行Java笔试题库,手撕面试官

java笔试选择题,求解。。

java笔试题库app,写的太详细了

最全的Java笔试题库之选择题篇-总共234道181~234