更新现在可用于 Red Hat Enterprise Linux 7 的 Red Hat JBoss Enterprise Application Platform 7.2。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。此 Red Hat JBoss Enterprise Application Platform 7.2.4 版本可替换 Red Hat JBoss Enterprise Application Platform 7.2.3，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.2.4 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。安全修复：* jackson-databind：未正确处理默认输入导致远程代码执行 (CVE-2019-14379) * jackson-databind：无法阻止 logback-core 类进行多态反序列化，可导致远程代码执行 (CVE-2019-12384) * jackson-databind：多态输入问题允许攻击者通过构建的 JSON 消息在服务器上读取任意本地文件 (CVE-2019-12814) * undertow：若启用，io.undertow.request.security 的调试日志，会将凭据泄露给日志文件 (CVE-2019-10212) * codehaus：jackson-databind 漏洞中不安全反序列化的不完全修复 (CVE-2019-10202) * jackson-databind：多态输入问题允许攻击者读取服务器上的任意本地文件 (CVE-2019-12086) * undertow：目录请求中存在信息泄露，缺少结尾斜线 (CVE-2019-10184)

远程 Ubuntu 16.04 ESM 主机上安装的一个程序包受到 USN-4813-1 公告中提及的多个漏洞影响。

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.5 中发现一个问题。使用 Jackson 默认类型以及 iBatis 中的小工具类可以泄露内容。已在 2.7.9.4、2.8.11.2 和 2.9.6 版中修复。(CVE-2018-11307)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 和 2.9.6 之前的版本中发现一个问题。如果启用了默认类型（全局或特定属性均可），且服务的类路径中包含 Jodd-db jar（用于 Jodd 框架的数据库访问），并且攻击者可以提供要访问的 LDAP 服务，就可能使服务执行恶意有效负载。(CVE-2018-12022)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 和 2.9.6 之前的版本中发现一个问题。如果启用了默认类型（全局或特定属性均可），且服务的类路径中包含 Oracle JDBC jar，并且攻击者可以提供要访问的 LDAP 服务，就可能使服务执行恶意有效负载。(CVE-2018-12023)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 slf4j-ext 类，执行任意代码。(CVE-2018-14718)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 blaze-ds-opt 和 blaze-ds-core 类，执行任意代码。
    (CVE-2018-14719)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的未知 JDK 类，执行外部 XML 实体 (XXE) 攻击。
    (CVE-2018-14720)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 axis2-jaxws 类，执行服务器端请求伪造 (SSRF) 攻击。(CVE-2018-14721)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 axis2-transport-jms 类，造成不明影响。(CVE-2018-19360)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 openjpa 类，造成不明影响。(CVE-2018-19361)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 jboss-common-core 类，造成不明影响。(CVE-2018-19362)

  - 在 2.x 之前的 2.9.9 版本 FasterXML jackson-databind 中发现了一个多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可）、该服务在类路径中拥有 mysql-connector-java jar（8.0.14 或更早版本），且攻击者能够托管受害者可读的特制 MySQL 服务器时，攻击者可能会发送特制的 JSON 消息造成读取服务器上的任意本地文件。这是由于缺少 com.mysql.cj.jdbc.admin.MiniAdmin 验证所致。(CVE-2019-12086)

  - FasterXML jackson-databind 2.9.9.1 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 logback-core 类，造成多种影响。根据类路径内容，可能存在远程代码执行。(CVE-2019-12384)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可）且该服务在类路径中拥有 JDOM 1.x 或 2.x 时，攻击者可能会发送特别构建的 JSON 消息造成读取服务器上的任意本地文件。(CVE-2019-12814)

  - 2.9.9.2 之前 FasterXML jackson-databind 中的 SubTypeValidator.java 在使用 ehcache 时错误处理了默认类型（因为 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup），导致远程代码执行。(CVE-2019-14379)

  - 在 2.x 之前的 2.9.9.2 版本 FasterXML jackson-databind 中发现了一个多态分型问题。当为外部公开的 JSON 端点启用默认类型（全局或针对特定属性）并且服务在类路径中具有 logback jar 时，会发生这种情况。(CVE-2019-14439)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与  com.zaxxer.hikari.HikariConfig 有关。(CVE-2019-14540)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与 com.zaxxer.hikari.HikariDataSource 有关。此漏洞与 CVE-2019-14540 不同。
    (CVE-2019-16335)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 commons-dbcp (1.4) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是未正确处理 org.apache.commons.dbcp.datasources.SharedPoolDataSource 和 org.apache.commons.dbcp.datasources.PerUserPoolDataSource。(CVE-2019-16942)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 p6spy (3.8.6) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是 com.p6spy.engine.spy.P6DataSource 的错误处理。(CVE-2019-16943)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。它与 net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup 相关。 (CVE-2019-17267)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 apache-log4j-extra（版本 1.2.x）jar 时，如果攻击者可提供要访问的 JNDI 服务，就可能使服务执行恶意有效负载。(CVE-2019-17531)

  - 2.9.10.2 之前的 2.x 版本 FasterXML jackson-databind 缺乏某些 net.sf.ehcache 阻断。(CVE-2019-20330)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory（又称 aries.transaction.jms）相关。(CVE-2020-10672)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 com.caucho.config.types.ResourceRef（又称 caucho-quercus）相关。(CVE-2020-10673)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.aoju.bus.proxy.provider.remoting.RmiProvider（又称 bus-proxy）有关。(CVE-2020-10968)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 javax.swing.JEditorPane 有关。(CVE-2020-10969)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.activemq 有关。*（又称 activemq-jms、activemq-core、activemq-pool 和 activemq-pool-jms）。(CVE-2020-11111)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.proxy.provider.remoting.RmiProvider（又称 apache/commons-proxy）有关。
    (CVE-2020-11112)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.openjpa.ee.WASRegistryManagedRuntime（又称 openjpa）有关。(CVE-2020-11113)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.springframework.aop.config.MethodLocatingFactoryBean（又称 spring-aop）有关。
    (CVE-2020-11619)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.jelly.impl.Embedded（又称 commons-jelly）有关。(CVE-2020-11620)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oadd.org.apache.xalan.lib.sql.JNDIConnectionPool（又称 apache/drill）有关。
    (CVE-2020-14060)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oracle.jms.AQjmsQueueConnectionFactory、oracle.jms.AQjmsXATopicConnectionFactory、oracle.jms.AQjmsTopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory 和 oracle.jms.AQjmsXAConnectionFactory（又称 weblogic/oracle-aqjms）有关。(CVE-2020-14061)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool（又称 xalan2）有关。
    (CVE-2020-14062)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.jsecurity.realm.jndi.JndiRealmFactory（又称 org.jsecurity）有关。(CVE-2020-14195)

  - FasterXML jackson-databind 2.0.0 到 2.9.10.2 缺乏某些 xbean-reflect/JNDI 阻断，如 org.apache.xbean.propertyeditor.JndiConverter 所示。(CVE-2020-8840)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig（又称阴影 hikari-config）相关。
    (CVE-2020-9546)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x  未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig（又称 ibatis-sqlmap）相关。
    (CVE-2020-9547)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 br.com.anteros.dbcp.AnterosDBCPConfig（又称 anteros-core）相关。(CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 1454 公告中提及的多个漏洞的影响。

  - rubygem-net-ldap：缺少 SSL 证书验证 (CVE-2017-17718)

  - mina-core：保留 close_notify SSL-TLS 中的开放套接字导致信息泄露。
    (CVE-2019-0231)

  - apache-commons-beanutils：未在默认情况下禁用 PropertyUtilsBean 中的类属性 (CVE-2019-10086)

  - jackson-databind：攻击者可利用多态输入问题在服务器上读取任意本地文件。
    (CVE-2019-12086)

  - rubygem-foreman_ansible：来自 Job Invocation 的用户输入条目可能包含敏感数据 (CVE-2020-10716)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本号，远程 Web 服务器上运行的 Oracle Primavera Unifier 安装版本为 16.1.x 或低于 16.2.15.10 的 16.2.x，或低于 17.12.11.1 的 17.7.x 至 17.12.x，或低于 18.8.13.0 的 18.8.x。因而受到多个漏洞攻击：- 当 “ehcache” 用于 Primavera Unifier 的 jackson-databind 组件时，“默认输入”的处理方式存在不明缺陷。未经身份验证的远程攻击者可通过 HTTP 经网络造成代码执行。(CVE-2019-14379) - Primavera Unifier 的 jackson-databind 组件存在信息泄露漏洞。如果服务在类路径中拥有 mysql-connector-java jar，未经身份验证的远程攻击者可通过外部暴露的 JSON 端点利用此漏洞，并且攻击者可托管受害者访问的构造的 MySQL 服务器。攻击者可发送构造的 JSON 消息读取服务器上的任意本地文件。(CVE-2019-12086) - Primavera Unifier 的 jackson-databind 组件存在信息泄露漏洞。如果服务在类路径中拥有允许信息泄露的 logback jar，未经身份验证的远程攻击者可通过外部暴露的 JSON 端点利用此漏洞。(CVE-2019-14439) 请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2019 年 10 月关键修补程序更新 (CPU) 的安全修补程序。因此，受到 FasterXML jackson-databind 子组件的任意文件读取漏洞的影响。这是由于缺少 com.mysql.cj.jdbc.admin.MiniAdmin 验证所致。未经身份验证的远程攻击者可利用此漏洞，通过发送构建的 JSON 消息，读取任意文件和泄露敏感信息。

更新现在可用于 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 7.2。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。此 Red Hat JBoss Enterprise Application Platform 7.2.4 版本可替换 Red Hat JBoss Enterprise Application Platform 7.2.3，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.2.4 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。安全修复：* jackson-databind：未正确处理默认输入导致远程代码执行 (CVE-2019-14379) * jackson-databind：无法阻止 logback-core 类进行多态反序列化，可导致远程代码执行 (CVE-2019-12384) * jackson-databind：多态输入问题允许攻击者通过构建的 JSON 消息在服务器上读取任意本地文件 (CVE-2019-12814) * undertow：若启用，io.undertow.request.security 的调试日志，会将凭据泄露给日志文件 (CVE-2019-10212) * codehaus：jackson-databind 漏洞中不安全反序列化的不完全修复 (CVE-2019-10202) * jackson-databind：多态输入问题允许攻击者读取服务器上的任意本地文件 (CVE-2019-12086) * undertow：目录请求中存在信息泄露，缺少结尾斜线 (CVE-2019-10184)

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.9.9 以前の FasterXML jackson-databind 2.x に、多態的型付けの問題が見つかりました。デフォルトの型付け (グローバルにまたは特定のプロパティに対して) が、外部に公開されているJSONエンドポイントに有効になっていて、サービスにはクラスパスのmysql-connector-java jar (8.0.14以前) があり、攻撃者が被害者の到達可能な細工されたMySQLサーバーをホストできる場合、攻撃者は細工されたJSONメッセージを送信して、サーバー上で任意のローカルファイルを読み取る可能性があります。これは、com.mysql.cj.jdbc.admin.MiniAdmin が検証されないことが原因です。(CVE-2019-12086)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Java用のJSONライブラリであるjackson-databindで、ポリモーフィックタイピングの問題が発見されました。デフォルトのタイピング（グローバルまたは特定のプロパティに対して）が、外部に公開されているJSONエンドポイントに有効になっていて、サービスにはクラスパスのmysql-connector-java jar（8.0.14以前）があり、攻撃者が被害者の到達可能な細工されたMySQLサーバーをホストできる場合、攻撃者は細工されたJSONメッセージを送信して、サーバー上で任意のローカルファイルを読み取る可能性があります。これは、com.mysql.cj.jdbc.admin.MiniAdminが検証されないことが原因です。

Debian 8「Jessie」では、この問題はバージョン2.4.2-2+deb8u6で修正されました。

お使いのjackson-databindパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- jackson-databindをバージョン2.9.9.3に更新してください。

  - jackson-coreをバージョン 2.9.9 に更新してください。

  - jackson-annotationsをバージョン2.9.9に更新してください。

  - jackson-bomをバージョン2.9.9に更新してください。

CVE-2019-12086、CVE-2019-12384、CVE-2019-12814、CVE-2019-14379、およびCVE-14439を解決します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

- jackson-databindをバージョン2.9.9.3に更新してください。

  - jackson-coreをバージョン 2.9.9 に更新してください。

  - jackson-annotationsをバージョン2.9.9に更新してください。

  - jackson-bomをバージョン2.9.9に更新してください。

CVE-2019-12086、CVE-2019-12384、CVE-2019-12814、CVE-2019-14379、およびCVE-14439を修正します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2019:3044 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - undertow: 末尾のスラッシュのないディレクトリのリクエストにおける情報漏洩 (CVE-2019-10184)

  - jackson-databind: 多態的型付けの問題により、攻撃者がサーバー上の任意のローカルファイルを読み取る可能性があります。
    (CVE-2019-12086)

  - jackson-databind: 多態的型付けの問題により、攻撃者が細工された JSON メッセージを介してサーバー上の任意のローカルファイルを読み取る可能性があります。(CVE-2019-12814)

  - jackson-databind: デフォルトの入力ミス処理により、リモートでコードが実行される可能性があります (CVE-2019-14379)

  - keycloak: アダプタのエンドポイントが任意の URL を介して公開されます (CVE-2019-14820)

  - keycloak: クロスレルムユーザーアクセス認証のバイパス (CVE-2019-14832)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

現已提供適用於 Red Hat Enterprise Linux 7.2 之 Red Hat JBoss Enterprise Application Platform 7 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。本版本 Red Hat JBoss Enterprise Application Platform 7.2.4 是 Red Hat JBoss Enterprise Application Platform 7.2.3 的替代版本，其中包含錯誤修正和增強功能。如需此本版本中包含的最重要錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.2.4 版本資訊。安全性修正：* jackson-databind：預設輸入處理不當導致遠端程式碼執行 (CVE-2019-14379) * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 (CVE-2019-12384) * jackson-databind：多型輸入問題可讓攻擊者透過特製 JSON 訊息而讀取伺服器上的任意本機檔案 (CVE-2019-12814) * undertow：io.undertow.request.security 的 DEBUG 記錄如果啟用，會將認證洩漏到記錄檔 (CVE-2019-10212) * codehaus：jackson-databind 弱點中的不安全還原序列化的修正不完整 (CVE-2019-10202) * jackson-databind：多型輸入問題可讓攻擊者讀取伺服器上的任意本機檔案 (CVE-2019-12086) * undertow：要求目錄但遺漏結尾斜線而導致資訊洩漏 (CVE-2019-10184)

現已提供適用於 Red Hat Enterprise Linux 8 之 Red Hat JBoss Enterprise Application Platform 7.2 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。本版本 Red Hat JBoss Enterprise Application Platform 7.2.4 是 Red Hat JBoss Enterprise Application Platform 7.2.3 的替代版本，其中包含錯誤修正和增強功能。如需此本版本中包含的最重要錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.2.4 版本資訊。安全性修正：* jackson-databind：預設輸入處理不當導致遠端程式碼執行 (CVE-2019-14379) * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 (CVE-2019-12384) * jackson-databind：多型輸入問題可讓攻擊者透過特製 JSON 訊息而讀取伺服器上的任意本機檔案 (CVE-2019-12814) * undertow：io.undertow.request.security 的 DEBUG 記錄如果啟用，會將認證洩漏到記錄檔 (CVE-2019-10212) * codehaus：jackson-databind 弱點中的不安全還原序列化的修正不完整 (CVE-2019-10202) * jackson-databind：多型輸入問題可讓攻擊者讀取伺服器上的任意本機檔案 (CVE-2019-12086) * undertow：要求目錄但遺漏結尾斜線而導致資訊洩漏 (CVE-2019-10184)

遠端 Ubuntu 16.04 ESM 主機上安裝的一個套件受到 USN-4813-1 公告中提及的多個弱點影響。

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.5 版本中發現一個問題。將 Jackson 預設輸入與 iBatis 的小工具類別一起使用時，可允許發生內容洩漏。已在 2.7.9.4、2.8.11.2 和 2.9.6 版中修正。(CVE-2018-11307)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 以及 2.9.6 版本中發現一個問題。當啟用 Default Typing (全域或針對特定屬性) 時，攻擊者可以透過提供 LDAP 服務來進行存取該服務類別路徑中的 Jodd-db jar (用於 Jodd 框架的資料庫存取)，從而可能使該服務執行惡意負載。(CVE-2018-12022)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 以及 2.9.6 版本中發現一個問題。當啟用 Default Typing (全域或針對特定屬性) 時，攻擊者可以透過提供 LDAP 服務來進行存取該服務類別路徑中的 Oracle JDBC jar，從而可能使該服務執行惡意負載。(CVE-2018-12023)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本允許遠端攻擊者利用無法封鎖來自多型還原序列化的 slf4j-ext 類別，執行任意程式碼。(CVE-2018-14718)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許遠端攻擊者利用無法封鎖來自多型還原序列化的 blaze-ds-opt 和 blaze-ds-core 類別，執行任意程式碼。
    (CVE-2018-14719)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的不明 JDK 類別，造成不明影響。
    (CVE-2018-14720)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許遠端攻擊者利用無法封鎖來自多型還原序列化的 axis2-jaxws 類別，執行伺服器端要求偽造 (SSRF) 攻擊。(CVE-2018-14721)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 axis2-transport-jms 類別，造成不明影響。(CVE-2018-19360)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 openjpa 類別，造成不明影響。(CVE-2018-19361)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 jboss-common-core 類別，造成不明影響。(CVE-2018-19362)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 版本中發現一個多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，該服務在類別路徑中具有 mysql-connector-java jar (8.0.14 或更早版本)，攻擊者可以託管受害者可存取的特製 MySQL 伺服器、攻擊者可以傳送特製的 JSON 資訊，允許其讀取伺服器上的任意本機檔案。這是因為缺少 com.mysql.cj.jdbc.admin.MiniAdmin 驗證所致。(CVE-2019-12086)

  - FasterXML jackson-databind 2.x 的 2.9.9.1 之前版本可能允許攻擊者利用無法阻止 logback-core 類別多型還原序列化的故障，來造成各種影響。視類別路徑內容而定，可能會導致遠端程式碼執行。(CVE-2019-12384)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 中發現多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，且該服務在類別路徑中具有 JDOM 1.x 或 2.x 時，攻擊者可以傳送特製的 JSON 訊息，讓他們可以讀取伺服器上的任意本機檔案。(CVE-2019-12814)

  - 在 FasterXML jackson-databind 2.9.9.2 之前版本中，SubTypeValidator.java 在使用 ehcache 時未正確處理預設輸入 (因為 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup)，進而導致遠端程式碼執行。(CVE-2019-14379)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9.2 版本中發現一個多型態輸入問題。當針對外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定內容)，且服務在類別路徑中有 logback jar 時，會發生此情況。(CVE-2019-14439)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。這與 com.zaxxer.hikari.HikariConfig 有關。(CVE-2019-14540)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。這與 com.zaxxer.hikari.HikariDataSource 有關。此弱點與 CVE-2019-14540 不同。
    (CVE-2019-16335)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或針對特定屬性)，且服務在類別路徑中具有 commons-dbcp (1.4) jar 時，如果攻擊者可找到要存取的 RMI 服務端點，則可能會使服務執行惡意承載。產生此問題的原因是，org.apache.commons.dbcp.datasources.SharedPoolDataSource 和 org.apache.commons.dbcp.datasources.PerUserPoolDataSource 處理不正確。(CVE-2019-16942)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或特定內容)，且服務在類別路徑中具有 p6spy (3.8.6) jar 時，如果攻擊者可找到要存取的 RMI 服務端點，則可能會使服務執行惡意承載。此問題之所以存在，是因為 com.p6spy.engine.spy.P6DataSource 處理不當。(CVE-2019-16943)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。該問題與 net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup 有關。(CVE-2019-17267)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或針對特定屬性)，且服務在類別路徑中具有 apache-log4j-extra (1.2.x 版本) jar 時，如果攻擊者可提供 JNDI 服務端點，則可能會使服務執行惡意承載。(CVE-2019-17531)

  - FasterXML jackson-databind 2.x 至 2.9.10.2 版本缺少特定 net.sf.ehcache 封鎖。(CVE-2019-20330)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory (即 aries.transaction.jms) 相關。(CVE-2020-10672)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 com.caucho.config.types.ResourceRef (即 caucho-quercus) 相關。(CVE-2020-10673)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.aoju.bus.proxy.provider.remoting.RmiProvider 有關 (即 bus-proxy)。(CVE-2020-10968)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 javax.swing.JEditorPane 有關。(CVE-2020-10969)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.activemq 有關 * (即 activemq-jms、activemq-core、activemq-pool 和 activemq-pool-jms)。(CVE-2020-11111)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.proxy.provider.remoting.RmiProvider 有關 (即 apache/commons-proxy)。
    (CVE-2020-11112)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 rg.apache.openjpa.ee.WASRegistryManagedRuntime 有關 (即 openjpa)。(CVE-2020-11113)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.springframework.aop.config.MethodLocatingFactoryBean 有關 (即 spring-aop)。
    (CVE-2020-11619)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.jelly.impl.Embedded 有關 (即 commons-jelly)。(CVE-2020-11620)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 oadd.org.apache.xalan.lib.sql.JNDIConnectionPool (即 apache/drill)。
    (CVE-2020-14060)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會不當處理序列化小工具與輸入之間的互動，此問題涉及 oracle.jms.AQjmsQueueConnectionFactory、oracle.jms.AQjmsXAtopicConnectionFactory、oracle.jms.AQjmstopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory 和 oracle.jms.AQjmsXAConnectionFactory (即 weblogic/oracle-aqjms)。(CVE-2020-14061)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool (即 xalan2)。
    (CVE-2020-14062)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 org.jsecurity.realm.jndi.JndiRealmFactory (即 org.jsecurity)。(CVE-2020-14195)

  - FasterXML jackson-databind 2.0.0 至 2.9.10.2 版本缺少特定 xbean-reflect/JNDI 封鎖，org.apache.xbean.propertyeditor.JndiConverter 即為一例。(CVE-2020-8840)

  FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig (即陰影 hikari-config) 相關。
    (CVE-2020-9546)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與類型之間的互動，此問題與 com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (即 ibatis-sqlmap) 相關。
    (CVE-2020-9547)

  FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 br.com.anteros.dbcp.AnterosDBCPConfig (即 anteros-core) 相關。(CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
129517	RHEL 7 : JBoss EAP (RHSA-2019:2936)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/7	critical
183541	Ubuntu 16.04 ESM：Jackson Databind 漏洞 (USN-4813-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/28	critical
136038	RHEL 7：Satellite 6.7 版本。（重要）(RHSA-2020: 1454)	Nessus	Red Hat Local Security Checks	2020/4/28	2024/11/7	high
130070	Oracle Primavera Unifier 多个漏洞（2019 年 10 月 CPU）	Nessus	CGI abuses	2019/10/21	2024/4/17	critical
130005	Oracle WebCenter Portal 任意文件读取（2019 年 10 月 CPU）	Nessus	Misc.	2019/10/17	2025/7/24	high
129516	RHEL 6 : JBoss EAP (RHSA-2019:2935)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/6	critical
252659	Linux Distros のパッチ未適用の脆弱性: CVE-2019-12086	Nessus	Misc.	2025/8/20	2025/8/20	high
125317	DebianDLA-1798-1: jackson-databindのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/5/22	2024/5/21	high
129110	Fedora 30：jackson-annotations/jackson-bom/jackson-core/jackson-databind（2019-ae6a703b8f）	Nessus	Fedora Local Security Checks	2019/9/23	2024/4/24	critical
129113	Fedora 29：jackson-annotations/jackson-bom/jackson-core/jackson-databind（2019-fb23eccc03）	Nessus	Fedora Local Security Checks	2019/9/23	2024/4/24	critical
129634	Fedora 31：jackson-annotations/jackson-bom/jackson-core/jackson-databind（2019-99ff6aa32c）	Nessus	Fedora Local Security Checks	2019/10/7	2024/4/19	critical
129863	RHEL 6 : RHEL 6 における Red Hat Single Sign-On 7.3.4 のセキュリティ更新 (重要度高) (RHSA-2019:3044)	Nessus	Red Hat Local Security Checks	2019/10/15	2024/11/6	critical
129517	RHEL 7：JBoss EAP (RHSA-2019:2936)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/7	critical
129518	RHEL 8：JBoss EAP (RHSA-2019:2937)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/6	critical
183541	Ubuntu 16.04 ESM：Jackson Databind 弱點 (USN-4813-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/28	critical

偵測

搜尋 Plugin

critical

critical

high

critical

high

critical

high

high

critical

critical

critical

critical

critical

critical

critical