Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-00688

Опубликовано: 12 окт. 2019
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость функции FasterXML Java-библиотеки для грамматического разбора JSON файлов jackson-databind связана с недостатком механизма проверки вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить полный контроль над системой

Вендор

Oracle Corp.
ООО «РусБИТех-Астра»
Red Hat Inc.
Сообщество свободного программного обеспечения
АО «НТЦ ИТ РОСА»
АО «Концерн ВНИИНС»
FasterXML, LLC

Наименование ПО

JD Edwards EnterpriseOne Tools
WebCenter Portal
Oracle Retail Customer Management and Segmentation Foundation
Astra Linux Common Edition
Red Hat Enterprise Linux
Debian GNU/Linux
Retail Xstore Point of Service
Communications Billing and Revenue Management
Oracle Retail Sales Audit
Siebel Engineering - Installer & Deployment
Oracle GoldenGate Application Adapters
РОСА ХРОМ
ОС ОН «Стрелец»
Jackson-databind

Версия ПО

9.2 (JD Edwards EnterpriseOne Tools)
12.2.1.3.0 (WebCenter Portal)
17.0 (Oracle Retail Customer Management and Segmentation Foundation)
18.0 (Oracle Retail Customer Management and Segmentation Foundation)
2.12 «Орёл» (Astra Linux Common Edition)
8 (Red Hat Enterprise Linux)
8 (Debian GNU/Linux)
15.0 (Retail Xstore Point of Service)
16.0 (Retail Xstore Point of Service)
17.0 (Retail Xstore Point of Service)
18.0 (Retail Xstore Point of Service)
19.0.0 (Retail Xstore Point of Service)
12.2.1.4.0 (WebCenter Portal)
7.5.0.23.0 (Communications Billing and Revenue Management)
12.0.0.3.0 (Communications Billing and Revenue Management)
14.1 (Oracle Retail Sales Audit)
до 2.20.5 включительно (Siebel Engineering - Installer & Deployment)
19.1.0.0.0 (Oracle GoldenGate Application Adapters)
12.4 (РОСА ХРОМ)
до 16.01.2023 (ОС ОН «Стрелец»)
от 2.0.0 до 2.6.7.3 (Jackson-databind)
от 2.7.0 до 2.8.11.5 (Jackson-databind)
от 2.9.0 до 2.9.10.1 (Jackson-databind)

Тип ПО

Прикладное ПО информационных систем
Сетевое программное средство
Операционная система

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 8
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для программных продуктов Oracle Inc.:
https://www.oracle.com/security-alerts/public-vuln-to-advisory-mapping.html
https://www.oracle.com/security-alerts/cpujul2020.html
https://www.oracle.com/security-alerts/cpuoct2020.html
Для FasterXML:
https://github.com/FasterXML/jackson-databind/issues/2498
https://github.com/FasterXML/jackson-databind/commit/b5a304a98590b6bb766134f9261e6566dcbbb6d0
Для программных продуктов Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2019/12/msg00013.html
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2019-17531
Для Astra Linux:
Обновление программного обеспечения (пакета jackson-databind) до 2.8.6-1+deb9u8 или более поздней версии
Для ОС ОН «Стрелец»:
Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2629

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 78%
0.0119
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
ubuntu
почти 6 лет назад

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the apache-log4j-extra (version 1.2.x) jar in the classpath, and an attacker can provide a JNDI service to access, it is possible to make the service execute a malicious payload.

CVSS3: 8.1
redhat
почти 6 лет назад

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the apache-log4j-extra (version 1.2.x) jar in the classpath, and an attacker can provide a JNDI service to access, it is possible to make the service execute a malicious payload.

CVSS3: 9.8
nvd
почти 6 лет назад

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the apache-log4j-extra (version 1.2.x) jar in the classpath, and an attacker can provide a JNDI service to access, it is possible to make the service execute a malicious payload.

CVSS3: 9.8
debian
почти 6 лет назад

A Polymorphic Typing issue was discovered in FasterXML jackson-databin ...

CVSS3: 9.8
github
больше 5 лет назад

jackson-databind polymorphic typing issue

EPSS

Процентиль: 78%
0.0119
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2