BDU:2019-01757

Опубликовано: 17 авг. 2018

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость библиотеки jackson-databind вызвана отсутствием защиты классов blaze-ds-opt и blaze-ds-core от полиморфной десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

FasterXML, LLC

Oracle Corp.

Наименование ПО

Jackson-databind

Oracle Retail Merchandising System

Oracle JDeveloper

Версия ПО

от 2.0 до 2.9.7 (Jackson-databind)

15.0 (Oracle Retail Merchandising System)

16.0 (Oracle Retail Merchandising System)

12.1.3.0.0 (Oracle JDeveloper)

12.2.1.3.0 (Oracle JDeveloper)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для библиотеки FasterXML jackson-databind использование рекомендаций:

https://github.com/FasterXML/jackson/wiki/Jackson-Release-2.9.7

Для продуктов Oracle использование рекомендаций:

https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-14719
CVE

EPSS

Процентиль: 85%

0.02605

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2018-14719

CVSS3: 9.8

ubuntu

около 7 лет назад

FasterXML jackson-databind 2.x before 2.9.7 might allow remote attackers to execute arbitrary code by leveraging failure to block the blaze-ds-opt and blaze-ds-core classes from polymorphic deserialization.

CVE-2018-14719

CVSS3: 8.1

redhat

больше 7 лет назад

CVE-2018-14719

CVSS3: 9.8

nvd

около 7 лет назад

CVE-2018-14719

CVSS3: 9.8

debian

около 7 лет назад

FasterXML jackson-databind 2.x before 2.9.7 might allow remote attacke ...

GHSA-4gq5-ch57-c2mg

CVSS3: 9.8

github

около 7 лет назад

Arbitrary Code Execution in jackson-databind

EPSS

Процентиль: 85%

0.02605

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2