BDU:2022-03804

Опубликовано: 17 дек. 2020

Источник: fstec

CVSS3: 8.1

CVSS2: 9.3

EPSS Низкий

Описание

Уязвимость компонента org.apache.commons.dbcp2.datasources.PerUserPoolDataSource библиотеки Jackson-databind проекта FasterXML связана с восстановлением в памяти недостоверной структуры данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных данных

Вендор

Сообщество свободного программного обеспечения

Oracle Corp.

FasterXML, LLC

NetApp Inc.

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

WebCenter Portal

Application Testing Suite

Banking Platform

Insurance Policy Administration J2EE

Blockchain Platform

Jackson-databind

Service Level Manager (SLM)

Autovue for Agile Product Lifecycle Management

Banking Treasury Management

Banking Virtual Account Management

Communications Cloud Native Core Policy

Communications Diameter Signaling Router

Communications Instant Messaging Server

Communications Interactive Session Recorder

Communications Online Mediation Controller

Communications Pricing Design Center

Communications Services Gatekeeper

Communications Unified Inventory Management

Oracle Documaker

Retail Merchandising System (RMS)

Xstore Point-of-Service

ОСОН ОСнова Оnyx

ROSA Virtualization

РОСА ХРОМ

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

12.2.1.3.0 (WebCenter Portal)

13.3.0.1 (Application Testing Suite)

2.6.2 (Banking Platform)

12.2.1.4.0 (WebCenter Portal)

2.7.0 (Banking Platform)

2.7.1 (Banking Platform)

2.9.0 (Banking Platform)

11.2.0 (Insurance Policy Administration J2EE)

2.8.0 (Banking Platform)

до 21.1.2 (Blockchain Platform)

от 2.0.0 до 2.9.10.8 (Jackson-databind)

- (Service Level Manager (SLM))

21.0.2 (Autovue for Agile Product Lifecycle Management)

2.10.0 (Banking Platform)

14.4 (Banking Treasury Management)

14.2.0 (Banking Virtual Account Management)

14.3.0 (Banking Virtual Account Management)

14.5.0 (Banking Virtual Account Management)

1.14.0 (Communications Cloud Native Core Policy)

1.4.0 (Communications Cloud Native Core Policy)

от 8.0.0 до 8.5.0 включительно (Communications Diameter Signaling Router)

10.0.1.5.0 (Communications Instant Messaging Server)

6.3 (Communications Interactive Session Recorder)

6.4 (Communications Interactive Session Recorder)

12.0.0.3 (Communications Online Mediation Controller)

12.0.0.4.0 (Communications Pricing Design Center)

7.0 (Communications Services Gatekeeper)

7.4.1 (Communications Unified Inventory Management)

12.6.3 (Oracle Documaker)

12.6.4 (Oracle Documaker)

15.0.3 (Retail Merchandising System (RMS))

16.0.6 (Xstore Point-of-Service)

17.0.4 (Xstore Point-of-Service)

18.0.3 (Xstore Point-of-Service)

19.0.2 (Xstore Point-of-Service)

до 2.1 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

12.4 (РОСА ХРОМ)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Прикладное ПО информационных систем

СУБД

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Для программных продуктов FasterXML::

https://github.com/FasterXML/jackson-databind/issues/2986

Для программных продуктов NetApp Inc.:

https://security.netapp.com/advisory/ntap-20210122-0005/

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2021/04/msg00025.html

Для программных продуктов Oracle Corp.:

https://www.oracle.com//security-alerts/cpujul2021.html

https://www.oracle.com/security-alerts/cpuApr2021.html

https://www.oracle.com/security-alerts/cpuoct2021.html

https://www.oracle.com/security-alerts/cpuapr2022.html

https://www.oracle.com/security-alerts/cpujan2022.html

Для ОСОН Основа:

Обновление программного обеспечения jackson-databind до версии 2.9.8-3+deb10u3

Для ОС ОН «Стрелец»:

Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2420

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2629

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-35490
CVE

EPSS

Процентиль: 88%

0.03916

Низкий

8.1 High

CVSS3

9.3 Critical

CVSS2

Связанные уязвимости

CVE-2020-35490

CVSS3: 8.1

ubuntu

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.8 mishandles the interaction between serialization gadgets and typing, related to org.apache.commons.dbcp2.datasources.PerUserPoolDataSource.

CVE-2020-35490

CVSS3: 8.1

redhat

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.8 mishandles the interaction between serialization gadgets and typing, related to org.apache.commons.dbcp2.datasources.PerUserPoolDataSource.

CVE-2020-35490

CVSS3: 8.1

nvd

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.8 mishandles the interaction between serialization gadgets and typing, related to org.apache.commons.dbcp2.datasources.PerUserPoolDataSource.

CVE-2020-35490

CVSS3: 8.1

debian

около 5 лет назад

FasterXML jackson-databind 2.x before 2.9.10.8 mishandles the interact ...

GHSA-wh8g-3j2c-rqj5

CVSS3: 8.1

github

около 4 лет назад

Serialization gadgets exploit in jackson-databind

EPSS

Процентиль: 88%

0.03916

Низкий

8.1 High

CVSS3

9.3 Critical

CVSS2