針對 src: jackson-databind 報告了若干 CVE，具體如下：

CVE-2020-14060

FasterXML jackson-databind 2.x 版的 2.9.10.5 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 oadd.org.apache.xalan.lib.sql.JNDIConnectionPool (即 apache/drill)。

CVE-2020-14061

FasterXML jackson-databind 2.x 版的 2.9.10.5 之前版本會不當處理序列化小工具與輸入之間的互動，此問題涉及 oracle.jms.AQjmsQueueConnectionFactory、oracle.jms.AQjmsXAtopicConnectionFactory、oracle.jms.AQjmstopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory 和 oracle.jms.AQjmsXAConnectionFactory (即 weblogic/oracle-aqjms)。

CVE-2020-14062

FasterXML jackson-databind 2.x 版的 2.9.10.5 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool (即 xalan2)。

CVE-2020-14195

FasterXML jackson-databind 2.x 版的 2.9.10.5 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 org.jsecurity.realm.jndi.JndiRealmFactory (即 org.jsecurity)。

針對 Debian 8「Jessie」，已在 2.4.2-2+deb8u15 版本中修正這些問題。

建議您升級 jackson-databind 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2270-1：jackson-databind 安全性更新

high Nessus Plugin ID 138063

版本 1.5