BDU:2020-04944

Опубликовано: 16 июн. 2020

Источник: fstec

CVSS3: 8.1

CVSS2: 7.6

EPSS Низкий

Описание

Уязвимость компонента org.jsecurity библиотеки Jackson-databind проекта FasterXML связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Red Hat Inc.

Oracle Corp.

FasterXML, LLC

ООО «Ред Софт»

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Common Edition

Jboss Fuse

Oracle Agile PLM

Oracle Communications Evolved Communications Application Server

Jackson-databind

Red Hat Satellite

Oracle Big Data Spatial and Graph

Communications Diameter Signaling Router

Oracle Communications Element Manager

Oracle Communications Session Report Manager

Oracle Communications Session Route Manager

Oracle Banking Digital Experience

Communications Calendar Server

Oracle Communications Contacts Server

РЕД ОС

РОСА ХРОМ

ОС ОН «Стрелец»

Версия ПО

8.0 (Debian GNU/Linux)

2.12 «Орёл» (Astra Linux Common Edition)

7 (Jboss Fuse)

9.3.6 (Oracle Agile PLM)

7.1 (Oracle Communications Evolved Communications Application Server)

от 2.0.0 до 2.9.10.5 (Jackson-databind)

6.6 for RHEL 7 (Red Hat Satellite)

6.7 for RHEL 7 (Red Hat Satellite)

до 3.0 (Oracle Big Data Spatial and Graph)

от 8.0.0 до 8.2.2 включительно (Communications Diameter Signaling Router)

от 8.2.0 до 8.2.2 включительно (Oracle Communications Element Manager)

от 8.2.0 до 8.2.2 включительно (Oracle Communications Session Report Manager)

от 8.2.0 до 8.2.2 включительно (Oracle Communications Session Route Manager)

18.1 (Oracle Banking Digital Experience)

18.2 (Oracle Banking Digital Experience)

18.3 (Oracle Banking Digital Experience)

19.1 (Oracle Banking Digital Experience)

19.2 (Oracle Banking Digital Experience)

20.1 (Oracle Banking Digital Experience)

8.0.0.4.0 (Communications Calendar Server)

8.0.0.5.0 (Oracle Communications Contacts Server)

7.3 (РЕД ОС)

12.4 (РОСА ХРОМ)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

ООО «Ред Софт» РЕД ОС 7.3

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для jackson-databind:

https://github.com/FasterXML/jackson-databind/issues/2765

https://github.com/FasterXML/jackson-databind/commit/f6d9c664f6d481703138319f6a0f1fdbddb3a259

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2020/07/msg00001.html

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2020-14195

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpuoct2020.html

https://www.oracle.com/security-alerts/cpujan2021.html

Для Astra Linux:

Обновление программного обеспечения (пакета jackson-databind) до 2.8.6-1+deb9u8 или более поздней версии

Для ОС ОН «Стрелец»:

Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2629

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-14195
CVE

EPSS

Процентиль: 92%

0.09511

Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

ROS-20250710-13

CVSS3: 9.8

redos

10 дней назад

Множественные уязвимости jackson-databind

CVE-2020-14195

CVSS3: 8.1

ubuntu

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.5 mishandles the interaction between serialization gadgets and typing, related to org.jsecurity.realm.jndi.JndiRealmFactory (aka org.jsecurity).

CVE-2020-14195

CVSS3: 8.1

redhat

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.5 mishandles the interaction between serialization gadgets and typing, related to org.jsecurity.realm.jndi.JndiRealmFactory (aka org.jsecurity).

CVE-2020-14195

CVSS3: 8.1

nvd

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.5 mishandles the interaction between serialization gadgets and typing, related to org.jsecurity.realm.jndi.JndiRealmFactory (aka org.jsecurity).

CVE-2020-14195

CVSS3: 8.1

debian

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.5 mishandles the interact ...

EPSS

Процентиль: 92%

0.09511

Низкий

8.1 High

CVSS3

7.6 High

CVSS2