CVE-2020-9548
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z br.com.anteros.dbcp.AnterosDBCPConfig (znanym jako anteros-core).
Ocena ryzyka
Podatność może umożliwić atakującemu wykonanie nieautoryzowanych działań poprzez wykorzystanie niebezpiecznych gadżetów deserializacji, co może prowadzić do zdalnego wykonania kodu lub naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację jackson-databind do wersji 2.9.10.4 lub nowszej oraz wyłączenie niebezpiecznego typowania, jeśli nie jest wymagane.
Oryginalny opis (angielski, źródło NVD)
FasterXML jackson-databind 2.x before 2.9.10.4 mishandles the interaction between serialization gadgets and typing, related to br.com.anteros.dbcp.AnterosDBCPConfig (aka anteros-core).