CVE-2017-17485

Kritik

Açıklama

FasterXML jackson-databind 2.8.10'a kadar olan sürümleri ve 2.9.x serisinin 2.9.3'e kadar olan sürümleri, CVE-2017-7525 serileştirme hatası için yapılan eksik düzeltme nedeniyle kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya izin verir. Bu durum, Spring kütüphaneleri sınıf yolunda (classpath) mevcut olduğunda etkisiz kalan bir kara listeyi atlayarak, ObjectMapper'ın readValue metoduna kötü niyetle oluşturulmuş JSON girdisi gönderilerek istismar edilebilir.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

Ürün

Fasterxml Jackson-databind

Yayın10 Oca 2018

İlk görülme10 Oca 2018

Zayıflık türüCWE-502Güvenilmeyen verinin seri durumdan çıkarılması

Nasıl düzeltilir

Güncelleyin

fasterxml jackson-databind2.6.7.3, 2.7.9.2, 2.8.11, 2.9.4 ya da sonraki bir sürüm
com.fasterxml.jackson.core:jackson-databind2.9.4, 2.8.11, 2.7.9.2 ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
fasterxml jackson-databind	v < 2.6.7.3, 2.7.0 ≤ v < 2.7.9.2, 2.8.0 ≤ v < 2.8.11, 2.9.0 ≤ v < 2.9.4	2.6.7.3, 2.7.9.2, 2.8.11, 2.9.4
debian debian_linux	8.0, 9.0	—
redhat jboss_enterprise_application_platform	6.0.0, 6.4.0, 7.1	—
redhat openshift_container_platform	4.1, 3.11	—
netapp e-series_santricity_os_controller	11.0.0 ≤ v ≤ 11.60.3	—
netapp e-series_santricity_web_services_proxy	Aralık belirtilmemiş	—
netapp oncommand_shift	Aralık belirtilmemiş	—
netapp snapcenter	Aralık belirtilmemiş	—
com.fasterxml.jackson.core:jackson-databindMaven	2.9.0 ≤ v < 2.9.4, 2.8.0 ≤ v < 2.8.11, v < 2.7.9.2	2.9.4, 2.8.11, 2.7.9.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.