BDU:2020-04626

Опубликовано: 18 июл. 2020

Источник: fstec

CVSS3: 8.1

CVSS2: 7.6

EPSS Низкий

Описание

Уязвимость компонента com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool библиотеки Jackson-databind проекта FasterXML связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Red Hat Inc.

Oracle Corp.

FasterXML, LLC

ООО «Ред Софт»

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Common Edition

Red Hat JBoss Fuse

Red Hat Descision Manager

Oracle Agile PLM

Red Hat Satellite

A-MQ Clients

Red Hat Process Automation

Jackson-databind

Communications Calendar Server

Oracle Communications Contacts Server

РЕД ОС

РОСА ХРОМ

ОС ОН «Стрелец»

Версия ПО

8.0 (Debian GNU/Linux)

2.12 «Орёл» (Astra Linux Common Edition)

7 (Red Hat JBoss Fuse)

7 (Red Hat Descision Manager)

9.3.6 (Oracle Agile PLM)

6.4 for RHEL 7 (Red Hat Satellite)

2 (A-MQ Clients)

7 (Red Hat Process Automation)

от 2.0.0 до 2.9.10.5 (Jackson-databind)

8.0.0.4.0 (Communications Calendar Server)

8.0.0.5.0 (Oracle Communications Contacts Server)

7.3 (РЕД ОС)

12.4 (РОСА ХРОМ)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

ООО «Ред Софт» РЕД ОС 7.3

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Jackson-databind:

https://github.com/FasterXML/jackson-databind/issues/2704

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2020-14062

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2020/07/msg00001.html

Для программных продуктов Oracle:

https://www.oracle.com/security-alerts/cpujan2021.html

Для Astra Linux:

Обновление программного обеспечения (пакета jackson-databind) до 2.8.6-1+deb9u8 или более поздней версии

Для ОС ОН «Стрелец»:

Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2629

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-14062
CVE

EPSS

Процентиль: 91%

0.07706

Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

ROS-20250710-13

CVSS3: 9.8

redos

10 дней назад

Множественные уязвимости jackson-databind

CVE-2020-14062

CVSS3: 8.1

ubuntu

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.5 mishandles the interaction between serialization gadgets and typing, related to com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool (aka xalan2).

CVE-2020-14062

CVSS3: 8.1

redhat

около 5 лет назад

CVE-2020-14062

CVSS3: 8.1

nvd

около 5 лет назад

CVE-2020-14062

CVSS3: 8.1

debian

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.5 mishandles the interact ...

EPSS

Процентиль: 91%

0.07706

Низкий

8.1 High

CVSS3

7.6 High

CVSS2