Deserialization of untrusted data in FasterXML jackson-databind

緊急 9.8CVE-2019-14379 · GHSA-6fpp-rgj9-8rwc · 29/07/2019 公開 · 08/10/2026 更新

要点

CVE-2019-14379 は com.fasterxml.jackson.core:jackson-databind, xcode (apple), jackson-databind (fasterxml) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：8.1%（全脆弱性の 94.8% より高い）。
対処：2.8.11.4, 2.9.9.2, 2.7.9.6, 13.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.fasterxml.jackson.core:jackson-databind Maven	`≥ 2.8.0, < 2.8.11.4≥ 2.9.0, < 2.9.9.2< 2.7.9.6`	`2.8.11.42.9.9.22.7.9.6`
xcode apple	`< 13.3`	`13.3`
jackson-databind fasterxml	`≥ 2.0.0, < 2.6.7.3≥ 2.7.0, < 2.7.9.6≥ 2.8.0, < 2.8.11.4≥ 2.9.0, < 2.9.9.2`	`2.6.7.32.7.9.62.8.11.42.9.9.2`
active iq unified manager netapp	`≥ 7.3≥ 9.5`	修正版なし
banking platform oracle	`= 2.4.0= 2.4.1= 2.5.0= 2.6.0= 2.6.1= 2.7.0= 2.7.1`	修正版なし
communications diameter signaling router oracle	`= 8.0.0= 8.1= 8.2= 8.2.1`	修正版なし
communications instant messaging server oracle	`= 10.0.1.3.0`	修正版なし
financial services analytical applications infrastructure oracle	`≥ 8.0.2, ≤ 8.0.8`	修正版なし
goldengate stream analytics oracle	`< 19.1.0.0.1`	`19.1.0.0.1`
jd edwards enterpriseone orchestrator oracle	`= 9.2`	修正版なし
jd edwards enterpriseone tools oracle	`= 9.2`	修正版なし
primavera gateway oracle	`= 15.2= 16.2= 17.12= 18.8.0`	修正版なし
primavera unifier oracle	`= 16.1= 16.2= 18.8≥ 17.7, ≤ 17.12`	修正版なし
retail customer management and segmentation foundation oracle	`= 17.0`	修正版なし
retail xstore point of service oracle	`= 15.0= 16.0= 17.0= 18.0= 7.1`	修正版なし
siebel engineering - installer & deployment oracle	`≤ 19.8`	修正版なし
siebel ui framework oracle	`≤ 19.10`	修正版なし
jboss enterprise application platform redhat	`= 7.2= 7.3`	修正版なし
openshift container platform redhat	`= 3.11= 4.1`	修正版なし
single sign-on redhat	`= 7.3`	修正版なし

概要

SubTypeValidator.java in FasterXML jackson-databind before 2.9.9.2, 2.8.11.4, and 2.7.9.6 mishandles default typing when ehcache is used (because of net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup), leading to remote code execution.

NVD の説明

SubTypeValidator.java in FasterXML jackson-databind before 2.9.9.2 mishandles default typing when ehcache is used (because of net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup), leading to remote code execution.

参考情報

com.fasterxml.jackson.core:jackson-databind のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン