Polymorphic deserialization of malicious object in jackson-databind

緊急 9.8CVE-2019-14893 · GHSA-qmqc-x3r4-6v39 · 02/03/2020 公開 · 08/10/2026 更新

要点

CVE-2019-14893 は com.fasterxml.jackson.core:jackson-databind, jackson-databind (fasterxml), goldengate stream analytics (oracle) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：4.1%（全脆弱性の 90.7% より高い）。
対処：2.9.10, 2.8.11.5, 19.1.0.0.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.fasterxml.jackson.core:jackson-databind Maven	`≥ 2.9.0, < 2.9.10`	`2.9.10`
jackson-databind fasterxml	`≥ 2.8.0, < 2.8.11.5≥ 2.9.0, < 2.9.10`	`2.8.11.52.9.10`
goldengate stream analytics oracle	`< 19.1.0.0.1`	`19.1.0.0.1`

概要

A flaw was discovered in FasterXML jackson-databind in all versions before 2.9.10 and 2.10.0, where it would permit polymorphic deserialization of malicious objects using the xalan JNDI gadget when used in conjunction with polymorphic type handling methods such as enableDefaultTyping() or when @JsonTypeInfo is using Id.CLASS or Id.MINIMAL_CLASS or in any other way which ObjectMapper.readValue might instantiate objects from unsafe sources. An attacker could use this flaw to execute arbitrary code.

NVD の説明

A flaw was discovered in FasterXML jackson-databind in all versions before 2.9.10 and 2.10.0, where it would permit polymorphic deserialization of malicious objects using the xalan JNDI gadget when used in conjunction with polymorphic type handling methods such as `enableDefaultTyping()` or when @JsonTypeInfo is using `Id.CLASS` or `Id.MINIMAL_CLASS` or in any other way which ObjectMapper.readValue might instantiate objects from unsafe sources. An attacker could use this flaw to execute arbitrary code.

参考情報

com.fasterxml.jackson.core:jackson-databind のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2019-14893 は com.fasterxml.jackson.core:jackson-databind, jackson-databind (fasterxml), goldengate stream analytics (oracle) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。

今後30日間に悪用される確率（EPSS）：4.1%（全脆弱性の 90.7% より高い）。

対処：2.9.10, 2.8.11.5, 19.1.0.0.1 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

com.fasterxml.jackson.core:jackson-databind

Maven

≥ 2.9.0, < 2.9.10

2.9.10

jackson-databind

fasterxml

≥ 2.8.0, < 2.8.11.5≥ 2.9.0, < 2.9.10

2.8.11.52.9.10

goldengate stream analytics

oracle

< 19.1.0.0.1

19.1.0.0.1

概要

NVD の説明

A flaw was discovered in FasterXML jackson-databind in all versions before 2.9.10 and 2.10.0, where it would permit polymorphic deserialization of malicious objects using the xalan JNDI gadget when used in conjunction with polymorphic type handling methods such as `enableDefaultTyping()` or when @JsonTypeInfo is using `Id.CLASS` or `Id.MINIMAL_CLASS` or in any other way which ObjectMapper.readValue might instantiate objects from unsafe sources. An attacker could use this flaw to execute arbitrary code.

com.fasterxml.jackson.core:jackson-databind のその他の脆弱性

すべて見る →