在與 EHCache 和 logback/jndi 有關的 jackson-databind 中發現還原序列化缺陷，這可讓未經驗證的使用者執行遠端程式碼。擴大黑名單並封鎖更多來自多型態還原序列化的類別，即可解決此問題。針對 Debian 8「Jessie」，這些問題已在 2.4.2-2~deb8u8 版本中修正。建議您升級 jackson-databind 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 16.04 ESM 主機上安裝的一個套件受到 USN-4813-1 公告中提及的多個弱點影響。

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.5 版本中發現一個問題。將 Jackson 預設輸入與 iBatis 的小工具類別一起使用時，可允許發生內容洩漏。已在 2.7.9.4、2.8.11.2 和 2.9.6 版中修正。(CVE-2018-11307)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 以及 2.9.6 版本中發現一個問題。當啟用 Default Typing (全域或針對特定屬性) 時，攻擊者可以透過提供 LDAP 服務來進行存取該服務類別路徑中的 Jodd-db jar (用於 Jodd 框架的資料庫存取)，從而可能使該服務執行惡意負載。(CVE-2018-12022)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 以及 2.9.6 版本中發現一個問題。當啟用 Default Typing (全域或針對特定屬性) 時，攻擊者可以透過提供 LDAP 服務來進行存取該服務類別路徑中的 Oracle JDBC jar，從而可能使該服務執行惡意負載。(CVE-2018-12023)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本允許遠端攻擊者利用無法封鎖來自多型還原序列化的 slf4j-ext 類別，執行任意程式碼。(CVE-2018-14718)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許遠端攻擊者利用無法封鎖來自多型還原序列化的 blaze-ds-opt 和 blaze-ds-core 類別，執行任意程式碼。
    (CVE-2018-14719)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的不明 JDK 類別，造成不明影響。
    (CVE-2018-14720)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許遠端攻擊者利用無法封鎖來自多型還原序列化的 axis2-jaxws 類別，執行伺服器端要求偽造 (SSRF) 攻擊。(CVE-2018-14721)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 axis2-transport-jms 類別，造成不明影響。(CVE-2018-19360)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 openjpa 類別，造成不明影響。(CVE-2018-19361)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 jboss-common-core 類別，造成不明影響。(CVE-2018-19362)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 版本中發現一個多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，該服務在類別路徑中具有 mysql-connector-java jar (8.0.14 或更早版本)，攻擊者可以託管受害者可存取的特製 MySQL 伺服器、攻擊者可以傳送特製的 JSON 資訊，允許其讀取伺服器上的任意本機檔案。這是因為缺少 com.mysql.cj.jdbc.admin.MiniAdmin 驗證所致。(CVE-2019-12086)

  - FasterXML jackson-databind 2.x 的 2.9.9.1 之前版本可能允許攻擊者利用無法阻止 logback-core 類別多型還原序列化的故障，來造成各種影響。視類別路徑內容而定，可能會導致遠端程式碼執行。(CVE-2019-12384)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 中發現多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，且該服務在類別路徑中具有 JDOM 1.x 或 2.x 時，攻擊者可以傳送特製的 JSON 訊息，讓他們可以讀取伺服器上的任意本機檔案。(CVE-2019-12814)

  - 在 FasterXML jackson-databind 2.9.9.2 之前版本中，SubTypeValidator.java 在使用 ehcache 時未正確處理預設輸入 (因為 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup)，進而導致遠端程式碼執行。(CVE-2019-14379)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9.2 版本中發現一個多型態輸入問題。當針對外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定內容)，且服務在類別路徑中有 logback jar 時，會發生此情況。(CVE-2019-14439)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。這與 com.zaxxer.hikari.HikariConfig 有關。(CVE-2019-14540)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。這與 com.zaxxer.hikari.HikariDataSource 有關。此弱點與 CVE-2019-14540 不同。
    (CVE-2019-16335)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或針對特定屬性)，且服務在類別路徑中具有 commons-dbcp (1.4) jar 時，如果攻擊者可找到要存取的 RMI 服務端點，則可能會使服務執行惡意承載。產生此問題的原因是，org.apache.commons.dbcp.datasources.SharedPoolDataSource 和 org.apache.commons.dbcp.datasources.PerUserPoolDataSource 處理不正確。(CVE-2019-16942)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或特定內容)，且服務在類別路徑中具有 p6spy (3.8.6) jar 時，如果攻擊者可找到要存取的 RMI 服務端點，則可能會使服務執行惡意承載。此問題之所以存在，是因為 com.p6spy.engine.spy.P6DataSource 處理不當。(CVE-2019-16943)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。該問題與 net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup 有關。(CVE-2019-17267)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或針對特定屬性)，且服務在類別路徑中具有 apache-log4j-extra (1.2.x 版本) jar 時，如果攻擊者可提供 JNDI 服務端點，則可能會使服務執行惡意承載。(CVE-2019-17531)

  - FasterXML jackson-databind 2.x 至 2.9.10.2 版本缺少特定 net.sf.ehcache 封鎖。(CVE-2019-20330)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory (即 aries.transaction.jms) 相關。(CVE-2020-10672)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 com.caucho.config.types.ResourceRef (即 caucho-quercus) 相關。(CVE-2020-10673)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.aoju.bus.proxy.provider.remoting.RmiProvider 有關 (即 bus-proxy)。(CVE-2020-10968)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 javax.swing.JEditorPane 有關。(CVE-2020-10969)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.activemq 有關 * (即 activemq-jms、activemq-core、activemq-pool 和 activemq-pool-jms)。(CVE-2020-11111)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.proxy.provider.remoting.RmiProvider 有關 (即 apache/commons-proxy)。
    (CVE-2020-11112)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 rg.apache.openjpa.ee.WASRegistryManagedRuntime 有關 (即 openjpa)。(CVE-2020-11113)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.springframework.aop.config.MethodLocatingFactoryBean 有關 (即 spring-aop)。
    (CVE-2020-11619)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.jelly.impl.Embedded 有關 (即 commons-jelly)。(CVE-2020-11620)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 oadd.org.apache.xalan.lib.sql.JNDIConnectionPool (即 apache/drill)。
    (CVE-2020-14060)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會不當處理序列化小工具與輸入之間的互動，此問題涉及 oracle.jms.AQjmsQueueConnectionFactory、oracle.jms.AQjmsXAtopicConnectionFactory、oracle.jms.AQjmstopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory 和 oracle.jms.AQjmsXAConnectionFactory (即 weblogic/oracle-aqjms)。(CVE-2020-14061)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool (即 xalan2)。
    (CVE-2020-14062)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 org.jsecurity.realm.jndi.JndiRealmFactory (即 org.jsecurity)。(CVE-2020-14195)

  - FasterXML jackson-databind 2.0.0 至 2.9.10.2 版本缺少特定 xbean-reflect/JNDI 封鎖，org.apache.xbean.propertyeditor.JndiConverter 即為一例。(CVE-2020-8840)

  FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig (即陰影 hikari-config) 相關。
    (CVE-2020-9546)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與類型之間的互動，此問題與 com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (即 ibatis-sqlmap) 相關。
    (CVE-2020-9547)

  FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 br.com.anteros.dbcp.AnterosDBCPConfig (即 anteros-core) 相關。(CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

發現剖析 JSON 及其他資料格式的 Java 程式庫 jackson-databind 在嘗試還原序列化前，未正確驗證使用者輸入。這可允許攻擊者提供惡意特製的輸入，以執行程式碼或讀取伺服器上的任意檔案。

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Oracle Primavera Unifier 安裝版本是 16.1.x 或比 16.2.15.10 舊的 16.2.x、或是 17.12.11.1 之前的 17.7.x 至 17.12.x、比 18.8.13.0 舊的 18.8.x。因此，會受到多個弱點影響：- 在 Primavera Unifier 的 jackson-databind 元件中使用「ehcache」時，處理「default typing」的方式有一個不明缺陷。未經驗證的遠端攻擊者可透過網路經由 HTTP 惡意利用此缺陷，來造成遠端程式碼執行。(CVE-2019-14379) - Primavera Unifier 的 jackson-databind 元件中有一個資訊洩漏弱點。若服務的類別路徑中有 mysql-connector-java jar，且攻擊者可主控受害者可存取的特製 MySQL 伺服器，未經驗證的遠端攻擊者即可透過外露的 JSON 端點來惡意利用此弱點。攻擊者可傳送特製的 JSON 訊息來讀取伺服器上的任意本機檔案。(CVE-2019-12086) - Primavera Unifier 的 jackson-databind 元件中有一個資訊洩漏弱點。若服務的類別路徑中有 logback jar，未經驗證的遠端攻擊者即可透過外露的 JSON 端點惡意利用此弱點，進而造成資訊洩漏。(CVE-2019-14439) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
127821	Debian DLA-1879-1：jackson-databind 安全性更新	Nessus	Debian Local Security Checks	2019/8/13	2024/5/6	critical
183541	Ubuntu 16.04 ESM：Jackson Databind 弱點 (USN-4813-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/21	critical
129597	Debian DSA-4542-1：jackson-databind - 安全性更新	Nessus	Debian Local Security Checks	2019/10/7	2024/4/19	critical
130070	Oracle Primavera Unifier 多個弱點 (2019 年 10 月 CPU)	Nessus	CGI abuses	2019/10/21	2024/4/17	critical

偵測

搜尋 Plugin

critical

critical

critical

critical