BDU:2021-01045

Опубликовано: 27 дек. 2020

Источник: fstec

CVSS3: 8.1

CVSS2: 9.3

EPSS Средний

Описание

Уязвимость библиотеки Jackson-databind проекта FasterXML связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Вендор

Novell Inc.

FasterXML, LLC

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

OpenSUSE Leap

Jackson-databind

ОСОН ОСнова Оnyx

ROSA Virtualization

РОСА ХРОМ

ОС ОН «Стрелец»

Версия ПО

15.2 (OpenSUSE Leap)

от 2.0 до 2.9.10.8 (Jackson-databind)

до 2.1 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

12.4 (РОСА ХРОМ)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Novell Inc. OpenSUSE Leap 15.2

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Jackson-databind проекта FasterXML:

Обновление программного обеспечения до 2.9.10.8 или более поздней версии

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2020-35728/

Для ОСОН Основа:

Обновление программного обеспечения jackson-databind до версии 2.9.8-3+deb10u3

Для ОС ОН «Стрелец»:

Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2420

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2629

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-35728
CVE

EPSS

Процентиль: 97%

0.39669

Средний

8.1 High

CVSS3

9.3 Critical

CVSS2

Связанные уязвимости

CVE-2020-35728

CVSS3: 8.1

ubuntu

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.8 mishandles the interaction between serialization gadgets and typing, related to com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool (aka embedded Xalan in org.glassfish.web/javax.servlet.jsp.jstl).

CVE-2020-35728

CVSS3: 8.1

redhat

около 5 лет назад

CVE-2020-35728

CVSS3: 8.1

nvd

около 5 лет назад

CVE-2020-35728

CVSS3: 8.1

debian

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.8 mishandles the interact ...

GHSA-5r5r-6hpj-8gg9

CVSS3: 8.1

github

около 4 лет назад

Serialization gadget exploit in jackson-databind

EPSS

Процентиль: 97%

0.39669

Средний

8.1 High

CVSS3

9.3 Critical

CVSS2