CVE-2020-14061
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.5 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z klasami oracle.jms (AQjmsQueueConnectionFactory, AQjmsXATopicConnectionFactory, AQjmsTopicConnectionFactory, AQjmsXAQueueConnectionFactory i AQjmsXAConnectionFactory), znanymi jako weblogic/oracle-aqjms.
Ocena ryzyka
Podatność może umożliwić zdalne wykonanie kodu lub nieautoryzowany dostęp do systemu, szczególnie w środowiskach korzystających z Oracle JMS.
Rekomendacja
Zaktualizuj jackson-databind do wersji 2.9.10.5 lub nowszej. Ogranicz użycie typowania i stosuj białe listy klas.
Oryginalny opis (angielski, źródło NVD)
FasterXML jackson-databind 2.x before 2.9.10.5 mishandles the interaction between serialization gadgets and typing, related to oracle.jms.AQjmsQueueConnectionFactory, oracle.jms.AQjmsXATopicConnectionFactory, oracle.jms.AQjmsTopicConnectionFactory, oracle.jms.AQjmsXAQueueConnectionFactory, and oracle.jms.AQjmsXAConnectionFactory (aka weblogic/oracle-aqjms).