CVE-2019-14893
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
Odkryto usterkę w FasterXML jackson-databind we wszystkich wersjach przed 2.9.10 i 2.10.0, która umożliwiała polimorficzną deserializację złośliwych obiektów przy użyciu gadżetu xalan JNDI, gdy używana jest z metodami obsługi typów polimorficznych, takimi jak `enableDefaultTyping()` lub gdy @JsonTypeInfo używa `Id.CLASS` lub `Id.MINIMAL_CLASS`, lub w inny sposób, w którym ObjectMapper.readValue może tworzyć obiekty z niebezpiecznych źródeł. Atakujący mógł wykorzystać tę usterkę do wykonania dowolnego kodu.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu w aplikacjach używających jackson-databind z podatnymi wersjami i niebezpieczną konfiguracją deserializacji.
Rekomendacja
Zaktualizuj jackson-databind do wersji 2.9.10 lub 2.10.0 (lub nowszej) i unikaj niebezpiecznych konfiguracji polimorficznej deserializacji.
Inne podatności w jackson-databind
Zobacz wszystkie- CVE-2021-20190Wysokie
Błąd w jackson-databind przed wersją 2.9.10.7 powoduje nieprawidłowe zarządzanie interakcją między gadżetami serializacji a typowaniem. Największe zagrożenie dotyczy poufności i integralności danych oraz dostępności systemu.
- CVE-2020-11620Wysokie
Biblioteka FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, w szczególności w powiązaniu z klasą org.apache.commons.jelly.impl.Embedded (commons-jelly). Może to umożliwić atakującemu wykonanie niebezpiecznych operacji podczas deserializacji danych.
- CVE-2019-14892Krytyczne
Odkryto usterkę w jackson-databind w wersjach przed 2.9.10, 2.8.11.5 i 2.6.7.3, która umożliwiała polimorficzną deserializację złośliwego obiektu przy użyciu klas JNDI z commons-configuration 1 i 2. Atakujący mógł wykorzystać tę usterkę do wykonania dowolnego kodu.
- CVE-2020-9547Krytyczne
FasterXML jackson-databind 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, związaną z com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (znanym jako ibatis-sqlmap).
- CVE-2020-8840Krytyczne
FasterXML jackson-databind w wersjach od 2.0.0 do 2.9.10.2 nie blokuje odpowiednio klas xbean-reflect/JNDI, co demonstruje org.apache.xbean.propertyeditor.JndiConverter. Może to umożliwić zdalne wykonanie kodu.
- CVE-2019-20330Krytyczne
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.2 nie zawiera odpowiedniej blokady klas net.sf.ehcache. Może to umożliwić atakującemu wykorzystanie deserializacji polimorficznej do wykonania niebezpiecznych operacji.
- CVE-2019-17531Krytyczne
Odkryto problem z polimorficznym typowaniem w FasterXML jackson-databind od wersji 2.0.0 do 2.9.10. Gdy domyślne typowanie jest włączone (globalnie lub dla konkretnej właściwości) dla zewnętrznie wystawionego punktu końcowego JSON, a usługa ma w classpath bibliotekę apache-log4j-extra (wersja 1.2.x), atakujący może dostarczyć usługę JNDI, co umożliwia wykonanie złośliwego ładunku.
- CVE-2019-17267Krytyczne
Wykryto problem z typowaniem polimorficznym w FasterXML jackson-databind przed 2.9.10, związany z net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.
- CVE-2019-16943Krytyczne
Wykryto problem z typowaniem polimorficznym w FasterXML jackson-databind od 2.0.0 do 2.9.10. Gdy domyślne typowanie jest włączone (globalnie lub dla konkretnej właściwości) dla zewnętrznie wystawionego punktu końcowego JSON, a usługa ma w classpath bibliotekę p6spy (3.8.6), atakujący może znaleźć punkt końcowy RMI i wykonać złośliwy kod. Problem wynika z nieprawidłowej obsługi com.p6spy.engine.spy.P6DataSource.
- CVE-2019-16942Krytyczne
W bibliotece FasterXML jackson-databind w wersjach od 2.0.0 do 2.9.10 wykryto problem polimorficznego typowania. Gdy domyślne typowanie jest włączone dla zewnętrznie dostępnego punktu końcowego JSON, a w classpath znajduje się biblioteka commons-dbcp (1.4), atakujący może doprowadzić do wykonania złośliwego ładunku poprzez usługę RMI. Problem wynika z nieprawidłowej obsługi klas org.apache.commons.dbcp.datasources.SharedPoolDataSource i PerUserPoolDataSource.
Oryginalny opis (angielski, źródło NVD)
A flaw was discovered in FasterXML jackson-databind in all versions before 2.9.10 and 2.10.0, where it would permit polymorphic deserialization of malicious objects using the xalan JNDI gadget when used in conjunction with polymorphic type handling methods such as `enableDefaultTyping()` or when @JsonTypeInfo is using `Id.CLASS` or `Id.MINIMAL_CLASS` or in any other way which ObjectMapper.readValue might instantiate objects from unsafe sources. An attacker could use this flaw to execute arbitrary code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS