CVE-2022-42003
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 89 - wyżej niż 89% wszystkich znanych CVE
Streszczenie
W FasterXML jackson-databind przed wersjami 2.13.4.1 i 2.12.17.1 może wystąpić wyczerpanie zasobów z powodu braku kontroli w deserializatorach wartości prymitywnych, aby uniknąć głębokiego zagnieżdżania tablic, gdy włączona jest funkcja UNWRAP_SINGLE_VALUE_ARRAYS.
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania zasobów systemu, co może skutkować odmową usługi (DoS).
Rekomendacja
Zaktualizuj jackson-databind do wersji 2.13.4.1 lub 2.12.17.1 albo nowszej.
Inne podatności w FasterXML jackson-databind
Zobacz wszystkie- CVE-2020-36182Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS.
- CVE-2020-36180Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS.
- CVE-2020-36179Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS.
- CVE-2020-36189Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource.
- CVE-2020-36188Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.newrelic.agent.deps.ch.qos.logback.core.db.JNDIConnectionSource.
- CVE-2020-36187Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource.
- CVE-2020-36186Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource.
- CVE-2020-36185Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource.
- CVE-2020-36184Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource.
- CVE-2020-36181Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp.cpdsadapter.DriverAdapterCPDS.
Oryginalny opis (angielski, źródło NVD)
In FasterXML jackson-databind before versions 2.13.4.1 and 2.12.17.1, resource exhaustion can occur because of a lack of a check in primitive value deserializers to avoid deep wrapper array nesting, when the UNWRAP_SINGLE_VALUE_ARRAYS feature is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS