在 Jackson Databind 中發現多個安全性弱點。

CVE-2020-24616

FasterXML jackson-databind 2.9.10.6 之前的2.x 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 br.com.anteros.dbcp.AnterosDBCPDataSource (即 Anteros-DBCP) 相關。

CVE-2020-24750

FasterXML jackson-databind 2.9.10.6 之前的2.x 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 com.pastdev.httpcomponents.configuration.JndiConfiguration 相關。

CVE-2020-25649

在 FasterXML Jackson Databind 中發現一個瑕疵，其未正確保護實體擴充。攻擊者可利用此瑕疵發動 XML 外部實體 (XXE) 攻擊。此弱點對資料完整性的威脅最大。

CVE-2020-35490

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.dbcp2.datasources.PerUserPoolDataSource 有關。

CVE-2020-35491

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.dbcp2.datasources.SharedPoolDataSource 有關。

CVE-2020-35728

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool (即 org.glassfish.web/javax.servlet.jsp.jstl 中的內嵌 Xalan)。

CVE-2020-36179

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS 有關。

CVE-2020-36180

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS 有關。

CVE-2020-36181

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.tomcat.dbcp.dbcp.cpdsadapter.DriverAdapterCPDS 有關。

CVE-2020-36182

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS 有關。

CVE-2020-36183

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 org.docx4j.org.apache.xalan.lib.sql.JNDIConnectionPool。

CVE-2020-36184

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource 有關。

CVE-2020-36185

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource 有關。

CVE-2020-36186

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource 有關。

CVE-2020-36187

FasterXML jackson-databind 2.x 版的 2.9.10.8 之前版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource 有關。

CVE-2020-36188

FasterXML jackson-databind 2.9.10.8 之前的2.x 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 com.newrelic.agent.deps.ch.qos.logback.core.db.JNDICS 相關。

CVE-2020-36189

FasterXML jackson-databind 2.9.10.8 之前的2.x 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 com.newrelic.agent.deps.ch.qos.logback.core.db.DMCS 相關。

CVE-2021-20190

在 jackson-databind 2.9.10.7 之前版本中發現一個缺陷。FasterXML 未正確處理序列化小工具和輸入之間的互動。
此弱點對於資料的機密性和完整性以及系統可用性威脅最大。

針對 Debian 9 Stretch，已在 2.8.6-1+deb9u9 版本中修正這些問題。

建議您升級 jackson-databind 套件。

如需有關 jackson-databind 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/jackson-databind

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2638-1：jackson-databind 安全性更新

high Nessus Plugin ID 149019

版本 1.3