BDU:2018-00945

Опубликовано: 26 фев. 2018

Источник: fstec

CVSS3: 9.8

CVSS2: 7.5

EPSS Средний

Описание

Уязвимость компонента ObjectMapper библиотеки FasterXML jackson-databind связана с восстановлением в памяти недостоверной структуры данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения «черного списка» и выполнить произвольный код с использованием специально сформированных данных в формате JSON

Вендор

Сообщество свободного программного обеспечения

FasterXML, LLC

ООО «РусБИТех-Астра»

Oracle Corp.

Наименование ПО

Debian GNU/Linux

Jackson-databind

Astra Linux Common Edition

Communications Instant Messaging Server

Communications Billing and Revenue Management

Retail Workforce Management Software

Global Lifecycle Management

Версия ПО

9 (Debian GNU/Linux)

до 2.8.11.1 (Jackson-databind)

от 2.9.0 до 2.9.4 включительно (Jackson-databind)

2.12 «Орёл» (Astra Linux Common Edition)

8 (Debian GNU/Linux)

10.0.1 (Communications Instant Messaging Server)

7.5 (Communications Billing and Revenue Management)

12.0 (Communications Billing and Revenue Management)

1.60.9.0.0 (Retail Workforce Management Software)

до 12.2.0.1.14 (Global Lifecycle Management)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для jackson-databind:

обновление программного обеспечения до более поздней версии

Для программных продуктов Oracle Corp.:

https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

https://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html

https://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html

Для Debian GNU/Linux:

https://www.debian.org/security/2018/dsa-4190

Для Astra Linux:

Обновление программного обеспечения (пакета jackson-databind) до 2.9.8-3+deb10u1 или более поздней версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-7489
CVE

EPSS

Процентиль: 96%

0.22488

Средний

9.8 Critical

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2018-7489

CVSS3: 9.8

ubuntu

почти 8 лет назад

FasterXML jackson-databind before 2.7.9.3, 2.8.x before 2.8.11.1 and 2.9.x before 2.9.5 allows unauthenticated remote code execution because of an incomplete fix for the CVE-2017-7525 deserialization flaw. This is exploitable by sending maliciously crafted JSON input to the readValue method of the ObjectMapper, bypassing a blacklist that is ineffective if the c3p0 libraries are available in the classpath.

CVE-2018-7489

CVSS3: 8.1

redhat

почти 8 лет назад

CVE-2018-7489

CVSS3: 9.8

nvd

почти 8 лет назад

CVE-2018-7489

CVSS3: 9.8

debian

почти 8 лет назад

FasterXML jackson-databind before 2.7.9.3, 2.8.x before 2.8.11.1 and 2 ...

GHSA-cggj-fvv3-cqwv

CVSS3: 9.8

github

больше 7 лет назад

FasterXML jackson-databind allows unauthenticated remote code execution

EPSS

Процентиль: 96%

0.22488

Средний

9.8 Critical

CVSS3

7.5 High

CVSS2