CVE-2019-16943
Kritik
Təsvir
FasterXML jackson-databind 2.0.0 və 2.9.10 versiyaları arasında Polimorfik Tipləmə problemi aşkar edilmişdir. Xaricə açıq olan JSON son nöqtəsi üçün Default Typing aktiv edildikdə (istər qlobal olaraq, istərsə də konkret xüsusiyyət üçün), xidmətin classpath-ində p6spy (3.8.6) jar faylı olduqda və hücumçu daxil ola biləcəyi bir RMI xidmət son nöqtəsi tapdıqda, xidmətin zərərli yükü icra etməsi mümkündür. Bu problem com.p6spy.engine.spy.P6DataSource-un yanlış idarə edilməsi səbəbindən yaranır.
CiddilikKritik
CVSS9.8
İstismar ehtimalı—
Məhsul
Fasterxml Jackson-databind
Dərc1 okt 2019
İlk görülmə1 okt 2019
Zəiflik növüCWE-502Etibarsız məlumatın deserializasiyası
Necə düzəltmək olar
Yeniləyin
- fasterxml jackson-databind2.6.7.3, 2.8.11.5, 2.9.10.1 və ya daha yeni versiya
- com.fasterxml.jackson.core:jackson-databind2.9.10.1, 2.8.11.5, 2.6.7.3 və ya daha yeni versiya
İstehsalçı bildirişləri
- debian.org/security/2019/dsa-4542
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TH5VFUN4P7CCIP7KSEXYA5MUTFCUDUJT/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Q7CANA7KV53JROZDX5Z5P26UG5VN2K43/
- access.redhat.com/errata/RHSA-2020:0164
- access.redhat.com/errata/RHSA-2020:0159
- access.redhat.com/errata/RHSA-2020:0160
- access.redhat.com/errata/RHSA-2020:0161
- access.redhat.com/errata/RHSA-2020:0445
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fasterxml jackson-databind | 2.0.0 ≤ v < 2.6.7.3, 2.7.0 ≤ v < 2.8.11.5, 2.9.0 ≤ v < 2.9.10.1 | 2.6.7.3, 2.8.11.5, 2.9.10.1 |
| debian debian_linux | 8.0, 9.0, 10.0 | — |
| fedoraproject fedora | 30, 31 | — |
| redhat jboss_enterprise_application_platform | 7.2, 7.3 | — |
| oracle banking_platform | 2.4.0, 2.4.1, 2.5.0, 2.6.0, 2.6.1, 2.6.2, 2.7.0, 2.7.1, 2.9.0 | — |
| oracle communications_billing_and_revenue_management | 7.5.0.23.0, 12.0.0.3.0 | — |
| oracle communications_calendar_server | 8.0.0.2.0, 8.0.0.3.0 | — |
| oracle communications_cloud_native_core_network_slice_selection_function | 1.2.1 | — |
| oracle communications_evolved_communications_application_server | 7.1 | — |
| oracle global_lifecycle_management_nextgen_oui_framework | 12.2.1.3.0, 12.2.1.4.0, 13.9.4.2.2 | — |
| oracle goldengate_application_adapters | 19.1.0.0.0 | — |
| oracle jd_edwards_enterpriseone_orchestrator | 9.2 | — |
| oracle jd_edwards_enterpriseone_tools | 9.2 | — |
| oracle primavera_gateway | 17.7 ≤ v ≤ 17.12.6, 18.8.0 ≤ v ≤ 18.8.8, 16.1, 16.2, 19.12.0 | — |
| oracle retail_merchandising_system | 15.0.3, 16.0.2, 16.0.3 | — |
| oracle retail_sales_audit | 14.1 | — |
| oracle siebel_engineering_-_installer_\&_deployment | v ≤ 2.20.5 | — |
| oracle trace_file_analyzer | 12.2.0.1, 18c, 19c | — |
| oracle webcenter_portal | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle webcenter_sites | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle weblogic_server | 12.2.1.3.0, 12.2.1.4.0 | — |
| netapp active_iq_unified_manager | 7.3 ≤ v, 9.5 ≤ v | — |
| netapp oncommand_api_services | Aralıq göstərilməyib | — |
| netapp oncommand_workflow_automation | Aralıq göstərilməyib | — |
| netapp service_level_manager | Aralıq göstərilməyib | — |
| netapp steelstore_cloud_integrated_storage | Aralıq göstərilməyib | — |
| com.fasterxml.jackson.core:jackson-databindMaven | 2.9.0 ≤ v < 2.9.10.1, 2.7.0 ≤ v < 2.8.11.5, v < 2.6.7.3 | 2.9.10.1, 2.8.11.5, 2.6.7.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.