CVE-2019-16942
Təsvir
FasterXML jackson-databind 2.0.0 və 2.9.10 versiyaları arasında Polimorfik Tipləmə problemi aşkar edilmişdir. Xaricə açıq olan JSON son nöqtəsi üçün Default Typing aktiv edildikdə (istər qlobal olaraq, istərsə də konkret xüsusiyyət üçün), xidmətin classpath-ində commons-dbcp (1.4) jar faylı olduqda və hücumçu daxil ola biləcəyi bir RMI xidmət son nöqtəsi tapdıqda, xidmətin zərərli yükü icra etməsi mümkündür. Bu problem org.apache.commons.dbcp.datasources.SharedPoolDataSource və org.apache.commons.dbcp.datasources.PerUserPoolDataSource komponentlərinin yanlış idarə edilməsi səbəbindən yaranır.
Necə düzəltmək olar
- fasterxml jackson-databind2.6.7.3, 2.8.11.5, 2.9.10.1 və ya daha yeni versiya
- com.fasterxml.jackson.core:jackson-databind2.9.10.1, 2.8.11.5, 2.6.7.3 və ya daha yeni versiya
- debian.org/security/2019/dsa-4542
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TH5VFUN4P7CCIP7KSEXYA5MUTFCUDUJT/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Q7CANA7KV53JROZDX5Z5P26UG5VN2K43/
- access.redhat.com/errata/RHSA-2019:3901
- access.redhat.com/errata/RHSA-2020:0164
- access.redhat.com/errata/RHSA-2020:0159
- access.redhat.com/errata/RHSA-2020:0160
- access.redhat.com/errata/RHSA-2020:0161
- access.redhat.com/errata/RHSA-2020:0445
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fasterxml jackson-databind | 2.0.0 ≤ v < 2.6.7.3, 2.8.0 ≤ v < 2.8.11.5, 2.9.0 ≤ v < 2.9.10.1 | 2.6.7.3, 2.8.11.5, 2.9.10.1 |
| debian debian_linux | 8.0, 9.0, 10.0 | — |
| fedoraproject fedora | 30, 31 | — |
| redhat jboss_enterprise_application_platform | 7.2.0, 7.3 | — |
| netapp active_iq_unified_manager | 7.3 ≤ v, 9.5 ≤ v | — |
| netapp oncommand_api_services | Aralıq göstərilməyib | — |
| netapp oncommand_workflow_automation | Aralıq göstərilməyib | — |
| netapp service_level_manager | Aralıq göstərilməyib | — |
| netapp steelstore_cloud_integrated_storage | Aralıq göstərilməyib | — |
| oracle banking_platform | 2.4.0, 2.4.1, 2.5.0, 2.6.0, 2.6.1, 2.6.2, 2.7.0, 2.7.1, 2.9.0 | — |
| oracle communications_billing_and_revenue_management | 7.5.0.23.0, 12.0.0.3.0 | — |
| oracle communications_calendar_server | 8.0.0.2.0, 8.0.0.3.0 | — |
| oracle communications_cloud_native_core_network_slice_selection_function | 1.2.1 | — |
| oracle communications_evolved_communications_application_server | 7.1 | — |
| oracle database_server | 12.2.0.1, 18c, 19c | — |
| oracle global_lifecycle_management_nextgen_oui_framework | 12.2.1.3.0, 12.2.1.4.0, 13.9.4.2.2 | — |
| oracle goldengate_application_adapters | 19.1.0.0.0 | — |
| oracle jd_edwards_enterpriseone_orchestrator | 9.2 | — |
| oracle jd_edwards_enterpriseone_tools | 9.2 | — |
| oracle primavera_gateway | 17.12.0 ≤ v ≤ 17.12.6, 18.8.0 ≤ v ≤ 18.8.8, 19.12.0 | — |
| oracle primavera_unifier | 17.7 ≤ v ≤ 17.12, 16.1, 16.2, 18.8, 19.12 | — |
| oracle retail_merchandising_system | 15.0.3, 16.0.2, 16.0.3 | — |
| oracle retail_sales_audit | 14.1 | — |
| oracle siebel_engineering_-_installer_\&_deployment | v ≤ 2.20.5 | — |
| oracle siebel_ui_framework | v ≤ 20.5, 20.6 | — |
| oracle webcenter_portal | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle webcenter_sites | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle weblogic_server | 12.2.1.3.0, 12.2.1.4.0 | — |
| com.fasterxml.jackson.core:jackson-databindMaven | 2.9.0 ≤ v < 2.9.10.1, 2.7.0 ≤ v < 2.8.11.5, 2.0.0 ≤ v < 2.6.7.3 | 2.9.10.1, 2.8.11.5, 2.6.7.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.