CVE-2020-36189
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource.
Ocena ryzyka
Podatność może umożliwić zdalne wykonanie kodu lub nieautoryzowany dostęp do systemu, jeśli aplikacja używa jackson-databind z włączonym typowaniem.
Rekomendacja
Zaktualizuj jackson-databind do wersji 2.9.10.8 lub nowszej. Jeśli to możliwe, wyłącz typowanie lub skonfiguruj białe listy klas.
Oryginalny opis (angielski, źródło NVD)
FasterXML jackson-databind 2.x before 2.9.10.8 mishandles the interaction between serialization gadgets and typing, related to com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource.