Change "invalid subtype" (security check) from `BeanDeserializerFactory` into `ClassNameIdResolver`
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 30/100
Línea de trabajo
Empieza leyendo BeanDeserializerFactory y ClassNameIdResolver para determinar dónde se realizan las comprobaciones existentes de invalid-subtype y serialization-gadget. Investiga si resolver la Class puede activar la inicialización estática y qué comprobaciones se pueden adelantar de forma segura. Se considera terminado cuando las comprobaciones aplicables se ejecuten en ClassNameIdResolver, mientras que las comprobaciones de jerarquía necesarias sigan aplicándose correctamente más adelante.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Jackson 2.x intercepts attempts at deserializing certain "serialization gadget" classes with BeanDeserializerFactory, when locating deserializer. While this works, it happens at a point during which Class itself has already been resolved (from class name to Class object).
I am not 100% sure if this does trigger static initialization blocks, but if it does, then there is a potential concern still in allowing that to proceed.
And regardless of this aspect it seems better to catch the problem earlier, at least to the degree this is possible (some checks do require checking of inheritance hierarchy).
So: it would make sense to handle at least some of "serialization gadget" checks within ClassNameIdResolver, even if more checks were needed at a later point.
- Lenguaje dominante
- Sin datos de lenguaje
- Estrellas
- 6
- Forks
- 0
- Métricas de merge de PR
- Sin PR fusionados en 30 d
Preparar el entorno
Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Issues similares
-
ai-driven-fuzzing bug claude Minor
Dificultad 2/5 1-3 horas Aptitud para principiantes 77/100
linagora/cozy-client#1766 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
bug doc-audit
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
superradcompany/microsandbox#1974 ·
Los mantenedores suelen responder en 1 día
-
Mend: dependency security vulnerability untriaged
Dificultad 2/5 1-3 horas Aptitud para principiantes 66/100
opensearch-project/agent-health#603 ·
Los mantenedores suelen responder en 2 días