BDU:2019-01756

Опубликовано: 17 авг. 2018

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость библиотеки jackson-databind связана с ошибкой ограничения XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить XXE-атаку с использованием полиморфной десериализации

Вендор

FasterXML, LLC

Oracle Corp.

Наименование ПО

Jackson-databind

Oracle Retail Merchandising System

Oracle JDeveloper

Версия ПО

от 2.0 до 2.9.7 (Jackson-databind)

15.0 (Oracle Retail Merchandising System)

16.0 (Oracle Retail Merchandising System)

12.1.3.0.0 (Oracle JDeveloper)

12.2.1.3.0 (Oracle JDeveloper)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для библиотеки FasterXML jackson-databind использование рекомендаций:

https://github.com/FasterXML/jackson/wiki/Jackson-Release-2.9.7

Для продуктов Oracle использование рекомендаций:

https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-14720
CVE

EPSS

Процентиль: 85%

0.02518

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2018-14720

CVSS3: 9.8

ubuntu

около 7 лет назад

FasterXML jackson-databind 2.x before 2.9.7 might allow attackers to conduct external XML entity (XXE) attacks by leveraging failure to block unspecified JDK classes from polymorphic deserialization.

CVE-2018-14720

CVSS3: 7.5

redhat

больше 7 лет назад

FasterXML jackson-databind 2.x before 2.9.7 might allow attackers to conduct external XML entity (XXE) attacks by leveraging failure to block unspecified JDK classes from polymorphic deserialization.

CVE-2018-14720

CVSS3: 9.8

nvd

около 7 лет назад

FasterXML jackson-databind 2.x before 2.9.7 might allow attackers to conduct external XML entity (XXE) attacks by leveraging failure to block unspecified JDK classes from polymorphic deserialization.

CVE-2018-14720

CVSS3: 9.8

debian

около 7 лет назад

FasterXML jackson-databind 2.x before 2.9.7 might allow attackers to c ...

GHSA-x2w5-5m2g-7h5m

CVSS3: 9.8

github

около 7 лет назад

XML External Entity Reference (XXE) in jackson-databind

EPSS

Процентиль: 85%

0.02518

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2