CVE-2020-36179/80/81/82:Jackson-databind SSRF&RCE）

CVE-2020-36179/80/81/82是Jackson-databind中的四个安全破绽，分别涉及SSRF、RCE等攻击。

CVE202036179/80/81/82: Jacksondatabind SSRF&RCE破绽分析

CVE202036179/80/81/82是一组关于Jacksondatabind的严重安全破绽，攻击者可以利用这些破绽进行服务器端请求伪造（SSRF）和远程代码执行（RCE）。

1、CVE202036179：攻击者可以通过构造反面的JSON数据，利用Jackson的ObjectMapper类中的readTree方法，实现对内部网络的SSRF攻击。

2、CVE202036180：攻击者可以通过构造反面的JSON数据，利用Jackson的ObjectMapper类中的readValue方法，实现对内部网络的SSRF攻击。

3、CVE202036181：攻击者可以通过构造反面的JSON数据，利用Jackson的ObjectMapper类中的readValue方法，实现对内部网络的SSRF攻击。

4、CVE202036182：攻击者可以通过构造反面的JSON数据，利用Jackson的ObjectMapper类中的readValue方法，实现对内部网络的SSRF攻击。

这些破绽影响了所有使用Jacksondatabind库的版本，包括1.x、2.x和3.x。

建议用户尽快升级到最新的Jacksondatabind版本，或者在使用时避免使用readTree和readValue方法。

问题与解答：

Q1：我使用的是最新版本的Jacksondatabind，还需要担心这些破绽吗？

A1：即使您使用的是最新版本的Jacksondatabind，也不能完全排除这些破绽的风险，因为您的应用程序可能还使用了其他存在破绽的库，或者您的应用程序可能被配置为接受来自不受信任源的数据，建议您仍然遵循修复建议，以降低风险。

Q2：如果我不使用readTree和readValue方法，还有其他方法可以实现相同的功能吗？

A2：是的，Jacksondatabind提供了许多其他方法来实现相同的功能，例如writeValueAsString、writeValueAsBytes等，您可以根据您的需求选择合适的方法。