BDU:2023-05617

Опубликовано: 02 окт. 2022

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость библиотеки Jackson-databind проекта FasterXML связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

NetApp Inc.

АО «НППКТ»

АО «НТЦ ИТ РОСА»

Apache Software Foundation

FasterXML, LLC

АО «ИВК»

Наименование ПО

Debian GNU/Linux

OnCommand Workflow Automation

Active IQ Unified Manager for Microsoft Windows

Active IQ Unified Manager for VMware vSphere

ОСОН ОСнова Оnyx

ROSA Virtualization

РОСА ХРОМ

Cassandra

Active IQ Unified Manager for Linux

Jackson-databind

quarkus

АЛЬТ СП 10

ROSA Virtualization 3.0

Версия ПО

10 (Debian GNU/Linux)

- (OnCommand Workflow Automation)

11 (Debian GNU/Linux)

- (Active IQ Unified Manager for Microsoft Windows)

- (Active IQ Unified Manager for VMware vSphere)

до 2.7 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

12.4 (РОСА ХРОМ)

4.1.3 (Cassandra)

- (Active IQ Unified Manager for Linux)

до 2.12.7.1 (Jackson-databind)

от 2.13.0 до 2.13.4.1 (Jackson-databind)

до 2.13.0 (quarkus)

- (АЛЬТ СП 10)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

ПО виртуализации/ПО виртуального программно-аппаратного средства

СУБД

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

АО «НППКТ» ОСОН ОСнова Оnyx до 2.7

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «ИВК» АЛЬТ СП 10 -

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование антивирусных средств защиты;

- мониторинг действий пользователей;

- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;

- применение систем обнаружения и предотвращения вторжений.

Использование рекомендаций:

Для FasterXML:

https://github.com/FasterXML/jackson-databind/commit/063183589218fec19a9293ed2f17ec53ea80ba88

https://github.com/FasterXML/jackson-databind/issues/3582

Для Debian:

https://lists.debian.org/debian-lts-announce/2022/11/msg00035.html

https://www.debian.org/security/2022/dsa-5283

Для Netapp:

https://security.netapp.com/advisory/ntap-20221118-0008/

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения jackson-databind до версии 2.9.8-3+deb10u4

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2629

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2026-3187

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2026-3167

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-42004
CVE

EPSS

Процентиль: 89%

0.03409

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ALT-PU-2026-4168

CVSS3: 7.5

altlinux

8 месяцев назад

ALT-PU-2026-4168: package `jackson-databind` update to version 2.13.4.1-alt2

ALT-PU-2026-3730

CVSS3: 7.5

altlinux

8 месяцев назад

ALT-PU-2026-3730: package `jackson-databind` update to version 2.13.4.1-alt2

CVE-2022-42004

CVSS3: 7.5

ubuntu

около 4 лет назад

In FasterXML jackson-databind before 2.13.4, resource exhaustion can occur because of a lack of a check in BeanDeserializer._deserializeFromArray to prevent use of deeply nested arrays. An application is vulnerable only with certain customized choices for deserialization.

CVE-2022-42004

CVSS3: 7.5

redhat

около 4 лет назад

CVE-2022-42004

CVSS3: 7.5

nvd

около 4 лет назад

EPSS

Процентиль: 89%

0.03409

Низкий

7.5 High

CVSS3

7.8 High

CVSS2