CVE-2018-7489

Kritik

Açıklama

2.7.9.3 öncesi FasterXML jackson-databind, 2.8.11.1 öncesi 2.8.x ve 2.9.5 öncesi 2.9.x sürümleri, CVE-2017-7525 serileştirme hatası için yapılan eksik düzeltme nedeniyle kimlik doğrulaması yapılmamış uzaktan kod çalıştırmaya izin verir. Bu durum, c3p0 kütüphaneleri sınıf yolunda (classpath) mevcut olduğunda etkisiz kalan bir kara listeyi atlayarak, ObjectMapper'ın readValue metoduna kötü niyetle oluşturulmuş JSON girdisi gönderilerek istismar edilebilir.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

Ürün

Fasterxml Jackson-databind

Yayın26 Şub 2018

İlk görülme26 Şub 2018

Nasıl düzeltilir

Güncelleyin

fasterxml jackson-databind2.7.9.3, 2.8.11.1, 2.9.5 ya da sonraki bir sürüm
com.fasterxml.jackson.core:jackson-databind2.8.11.1, 2.9.5, 2.7.9.3, 2.6.7.5 ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
fasterxml jackson-databind	v < 2.7.9.3, 2.8.0 ≤ v < 2.8.11.1, 2.9.0 ≤ v < 2.9.5	2.7.9.3, 2.8.11.1, 2.9.5
debian debian_linux	8.0, 9.0	—
oracle communications_billing_and_revenue_management	7.5, 12.0	—
oracle communications_instant_messaging_server	10.0.1	—
redhat jboss_enterprise_application_platform	6.4.19, 7.1.2	—
com.fasterxml.jackson.core:jackson-databindMaven	2.8.0 ≤ v < 2.8.11.1, 2.9.0 ≤ v < 2.9.5, 2.7.0 ≤ v < 2.7.9.3, v < 2.6.7.5	2.8.11.1, 2.9.5, 2.7.9.3, 2.6.7.5

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.