CVE-2026-77310
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
jackson-databind, biblioteka do wiązania danych ogólnego przeznaczenia dla Jackson Data Processor, przed wersjami 2.18.9, 2.21.5, 2.22.1, 3.1.5 i 3.2.1 zawiera podatność w gałęzi java.net.InetAddress w metodzie FromStringDeserializer.Std._deserialize(). Funkcja wywołuje InetAddress.getByName() na danych kontrolowanych przez atakującego, co powoduje niecierpliwe rozwiązywanie DNS podczas deserializacji i umożliwia ataki SSRF oparte na DNS oraz enumerację wewnętrznych hostów.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataków SSRF i wykrycia wewnętrznych adresów IP, co może prowadzić do nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych.
Rekomendacja
Zaleca się aktualizację jackson-databind do jednej z podatnych wersji: 2.18.9, 2.21.5, 2.22.1, 3.1.5 lub 3.2.1.
Inne podatności w jackson-databind
Zobacz wszystkie- CVE-2021-20190Wysokie
Błąd w jackson-databind przed wersją 2.9.10.7 powoduje nieprawidłowe zarządzanie interakcją między gadżetami serializacji a typowaniem. Największe zagrożenie dotyczy poufności i integralności danych oraz dostępności systemu.
- CVE-2020-11620Wysokie
Biblioteka FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, w szczególności w powiązaniu z klasą org.apache.commons.jelly.impl.Embedded (commons-jelly). Może to umożliwić atakującemu wykonanie niebezpiecznych operacji podczas deserializacji danych.
- CVE-2019-14893Krytyczne
Odkryto usterkę w FasterXML jackson-databind we wszystkich wersjach przed 2.9.10 i 2.10.0, która umożliwiała polimorficzną deserializację złośliwych obiektów przy użyciu gadżetu xalan JNDI, gdy używana jest z metodami obsługi typów polimorficznych, takimi jak `enableDefaultTyping()` lub gdy @JsonTypeInfo używa `Id.CLASS` lub `Id.MINIMAL_CLASS`, lub w inny sposób, w którym ObjectMapper.readValue może tworzyć obiekty z niebezpiecznych źródeł. Atakujący mógł wykorzystać tę usterkę do wykonania dowolnego kodu.
- CVE-2019-14892Krytyczne
Odkryto usterkę w jackson-databind w wersjach przed 2.9.10, 2.8.11.5 i 2.6.7.3, która umożliwiała polimorficzną deserializację złośliwego obiektu przy użyciu klas JNDI z commons-configuration 1 i 2. Atakujący mógł wykorzystać tę usterkę do wykonania dowolnego kodu.
- CVE-2020-9547Krytyczne
FasterXML jackson-databind 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, związaną z com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (znanym jako ibatis-sqlmap).
- CVE-2020-8840Krytyczne
FasterXML jackson-databind w wersjach od 2.0.0 do 2.9.10.2 nie blokuje odpowiednio klas xbean-reflect/JNDI, co demonstruje org.apache.xbean.propertyeditor.JndiConverter. Może to umożliwić zdalne wykonanie kodu.
- CVE-2019-20330Krytyczne
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.2 nie zawiera odpowiedniej blokady klas net.sf.ehcache. Może to umożliwić atakującemu wykorzystanie deserializacji polimorficznej do wykonania niebezpiecznych operacji.
- CVE-2019-17531Krytyczne
Odkryto problem z polimorficznym typowaniem w FasterXML jackson-databind od wersji 2.0.0 do 2.9.10. Gdy domyślne typowanie jest włączone (globalnie lub dla konkretnej właściwości) dla zewnętrznie wystawionego punktu końcowego JSON, a usługa ma w classpath bibliotekę apache-log4j-extra (wersja 1.2.x), atakujący może dostarczyć usługę JNDI, co umożliwia wykonanie złośliwego ładunku.
- CVE-2019-17267Krytyczne
Wykryto problem z typowaniem polimorficznym w FasterXML jackson-databind przed 2.9.10, związany z net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.
- CVE-2019-16943Krytyczne
Wykryto problem z typowaniem polimorficznym w FasterXML jackson-databind od 2.0.0 do 2.9.10. Gdy domyślne typowanie jest włączone (globalnie lub dla konkretnej właściwości) dla zewnętrznie wystawionego punktu końcowego JSON, a usługa ma w classpath bibliotekę p6spy (3.8.6), atakujący może znaleźć punkt końcowy RMI i wykonać złośliwy kod. Problem wynika z nieprawidłowej obsługi com.p6spy.engine.spy.P6DataSource.
Oryginalny opis (angielski, źródło NVD)
jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. Prior to versions 2.18.9, 2.21.5, 2.22.1, 3.1.5, and 3.2.1 on their respective release lines, the java.net.InetAddress branch of FromStringDeserializer.Std._deserialize() calls InetAddress.getByName() on attacker-controlled input, causing eager DNS resolution during deserialization and enabling DNS-based server-side request forgery and internal-host enumeration. This issue is fixed in versions 2.18.9, 2.21.5, 2.22.1, 3.1.5, and 3.2.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS