BDU:2021-00882

Опубликовано: 17 сент. 2020

Источник: fstec

CVSS3: 8.1

CVSS2: 9.3

EPSS Низкий

Описание

Уязвимость функции в com.pastdev.httpcomponents.configuration.JndiConfiguration библиотеки Jackson-databind проекта FasterXML связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Вендор

Сообщество свободного программного обеспечения

Oracle Corp.

FasterXML, LLC

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Oracle Communications Messaging Server

Communications Diameter Signaling Router

Jackson-databind

Communications Calendar Server

Oracle Communications Contacts Server

Identity Manager Connector

Siebel UI Framework

ОСОН ОСнова Оnyx

РОСА ХРОМ

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

8.1 (Oracle Communications Messaging Server)

от 8.0.0 до 8.2.2 включительно (Communications Diameter Signaling Router)

от 2.0 до 2.9.10.6 (Jackson-databind)

8.0 (Communications Calendar Server)

8.0 (Oracle Communications Contacts Server)

11.1.1.5.0 (Identity Manager Connector)

до 21.2 включительно (Siebel UI Framework)

до 2.1 (ОСОН ОСнова Оnyx)

12.4 (РОСА ХРОМ)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/FasterXML/jackson-databind/commit/ad5a630174f08d279504bc51ebba8772fd71b86b

https://github.com/FasterXML/jackson-databind/issues/2798

Для Debian:

https://lists.debian.org/debian-lts-announce/2021/04/msg00025.html

Для продуктов Oracle:

https://www.oracle.com/security-alerts/cpuapr2021.html

https://www.oracle.com/security-alerts/cpujan2021.html

Для ОСОН Основа:

Обновление программного обеспечения jackson-databind до версии 2.9.8-3+deb10u3

Для ОС ОН «Стрелец»:

Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2629

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-24750
CVE

EPSS

Процентиль: 81%

0.01605

Низкий

8.1 High

CVSS3

9.3 Critical

CVSS2

Связанные уязвимости

CVE-2020-24750

CVSS3: 8.1

ubuntu

больше 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.6 mishandles the interaction between serialization gadgets and typing, related to com.pastdev.httpcomponents.configuration.JndiConfiguration.

CVE-2020-24750

CVSS3: 8.1

redhat

больше 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.6 mishandles the interaction between serialization gadgets and typing, related to com.pastdev.httpcomponents.configuration.JndiConfiguration.

CVE-2020-24750

CVSS3: 8.1

nvd

больше 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.6 mishandles the interaction between serialization gadgets and typing, related to com.pastdev.httpcomponents.configuration.JndiConfiguration.

CVE-2020-24750

CVSS3: 8.1

debian

больше 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.6 mishandles the interact ...

GHSA-qjw2-hr98-qgfh

CVSS3: 8.1

github

около 4 лет назад

Unsafe Deserialization in jackson-databind

EPSS

Процентиль: 81%

0.01605

Низкий

8.1 High

CVSS3

9.3 Critical

CVSS2