BDU:2024-00088

Опубликовано: 20 дек. 2021

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость библиотеки jackson-databind связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Red Hat, Inc.

Сообщество свободного программного обеспечения

АО «НТЦ ИТ РОСА»

FasterXML, LLC

Наименование ПО

Red Hat Enterprise Linux

Red Hat JBoss Fuse

Debian GNU/Linux

OpenShift Application Runtimes

Red Hat OpenStack Platform

Red Hat JBoss Data Virtualization

Red Hat JBoss Data Grid

JBoss Enterprise Application Platform

Red Hat Integration Camel K

Red Hat Integration Camel Quarkus

Red Hat Data Grid

Red Hat JBoss Fuse Service Works

Red Hat OpenShift Container Platform

Red Hat Integration Change Data Capture

Red Hat AMQ Online

Decision Manager

ROSA Virtualization

Cryostat

Red Hat JBoss Enterprise Application Platform

Red Hat Satellite

Migration Toolkit for Runtimes

Red Hat OpenShift Dev Spaces

Red Hat Integration Service Registry

OpenShift Developer Tools and Services for OCP

Red Hat AMQ Streams

Jackson-databind

Red Hat Single Sign-On

Red Hat support for Spring Boot

Red Hat Integration Camel for Spring Boot

ROSA Virtualization 3.0

Версия ПО

8 (Red Hat Enterprise Linux)

7 (Red Hat JBoss Fuse)

10 (Debian GNU/Linux)

- (OpenShift Application Runtimes)

6 (Red Hat JBoss Fuse)

13.0 (Queens) (Red Hat OpenStack Platform)

6 (Red Hat JBoss Data Virtualization)

7 (Red Hat JBoss Data Grid)

6 (JBoss Enterprise Application Platform)

- (Red Hat Integration Camel K)

- (Red Hat Integration Camel Quarkus)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

8 (Red Hat Data Grid)

6 (Red Hat JBoss Fuse Service Works)

3.11 (Red Hat OpenShift Container Platform)

4 (Red Hat OpenShift Container Platform)

- (Red Hat Integration Change Data Capture)

9 (Red Hat Enterprise Linux)

- (Red Hat AMQ Online)

7 (Decision Manager)

2.1 (ROSA Virtualization)

2 (Cryostat)

7 (Red Hat JBoss Enterprise Application Platform)

6.13 for RHEL 8 (Red Hat Satellite)

1 (Migration Toolkit for Runtimes)

- (Red Hat OpenShift Dev Spaces)

2.4.3 GA (Red Hat Integration Service Registry)

6 (Red Hat JBoss Enterprise Application Platform)

4.13 (OpenShift Developer Tools and Services for OCP)

7.4 for RHEL 8 (Red Hat JBoss Enterprise Application Platform)

7.4 for RHEL 9 (Red Hat JBoss Enterprise Application Platform)

7.4 on RHEL 7 (Red Hat JBoss Enterprise Application Platform)

2.4.0 (Red Hat AMQ Streams)

4.12 (OpenShift Developer Tools and Services for OCP)

от 2.10.0 до 2.12.6 (Jackson-databind)

2.13.0 (Jackson-databind)

7.6.5 (Red Hat Single Sign-On)

2.7.13 (Red Hat support for Spring Boot)

3.18.3.2 (Red Hat Integration Camel for Spring Boot)

2.13.0 rc1 (Jackson-databind)

2.13.0 rc2 (Jackson-databind)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

ПО программно-аппаратного средства

Сетевое средство

ПО виртуализации/ПО виртуального программно-аппаратного средства

Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat, Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Red Hat, Inc. Red Hat Enterprise Linux 9

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для jackson-databind:

https://groups.google.com/g/jackson-user/c/OsBsirPM_Vw

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2021-46877

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2021-46877

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2026-3187

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2026-3167

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-46877
CVE

EPSS

Процентиль: 66%

0.01124

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ALT-PU-2026-4168

CVSS3: 7.5

altlinux

8 месяцев назад

ALT-PU-2026-4168: package `jackson-databind` update to version 2.13.4.1-alt2

ALT-PU-2026-3730

CVSS3: 7.5

altlinux

8 месяцев назад

ALT-PU-2026-3730: package `jackson-databind` update to version 2.13.4.1-alt2

CVE-2021-46877

CVSS3: 7.5

ubuntu

больше 3 лет назад

jackson-databind 2.10.x through 2.12.x before 2.12.6 and 2.13.x before 2.13.1 allows attackers to cause a denial of service (2 GB transient heap usage per read) in uncommon situations involving JsonNode JDK serialization.

CVE-2021-46877

CVSS3: 7.5

redhat

больше 3 лет назад

CVE-2021-46877

CVSS3: 7.5

nvd

больше 3 лет назад

EPSS

Процентиль: 66%

0.01124

Низкий

7.5 High

CVSS3

7.8 High

CVSS2