Polymorphic Typing in FasterXML jackson-databind

緊急 9.8CVE-2019-16942 · GHSA-mx7p-6679-8g3q · 01/10/2019 公開 · 08/10/2026 更新

要点

CVE-2019-16942 は com.fasterxml.jackson.core:jackson-databind, jackson-databind (fasterxml), active iq unified manager (netapp) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：5.7%（全脆弱性の 93.0% より高い）。
対処：2.6.7.3, 2.8.11.5, 2.9.10.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.fasterxml.jackson.core:jackson-databind Maven	`≥ 2.0.0, < 2.6.7.3≥ 2.7.0, < 2.8.11.5≥ 2.9.0, < 2.9.10.1`	`2.6.7.32.8.11.52.9.10.1`
jackson-databind fasterxml	`≥ 2.0.0, < 2.6.7.3≥ 2.8.0, < 2.8.11.5≥ 2.9.0, < 2.9.10.1`	`2.6.7.32.8.11.52.9.10.1`
active iq unified manager netapp	`≥ 7.3≥ 9.5`	修正版なし
banking platform oracle	`= 2.4.0= 2.4.1= 2.5.0= 2.6.0= 2.6.1= 2.6.2= 2.7.0= 2.7.1= 2.9.0`	修正版なし
communications billing and revenue management oracle	`= 12.0.0.3.0= 7.5.0.23.0`	修正版なし
communications calendar server oracle	`= 8.0.0.2.0= 8.0.0.3.0`	修正版なし
communications cloud native core network slice selection function oracle	`= 1.2.1`	修正版なし
communications evolved communications application server oracle	`= 7.1`	修正版なし
database server oracle	`= 12.2.0.1= 18c= 19c`	修正版なし
global lifecycle management nextgen oui framework oracle	`= 12.2.1.3.0= 12.2.1.4.0= 13.9.4.2.2`	修正版なし
goldengate application adapters oracle	`= 19.1.0.0.0`	修正版なし
jd edwards enterpriseone orchestrator oracle	`= 9.2`	修正版なし
jd edwards enterpriseone tools oracle	`= 9.2`	修正版なし
primavera gateway oracle	`= 19.12.0≥ 17.12.0, ≤ 17.12.6≥ 18.8.0, ≤ 18.8.8`	修正版なし
primavera unifier oracle	`= 16.1= 16.2= 18.8= 19.12≥ 17.7, ≤ 17.12`	修正版なし
retail merchandising system oracle	`= 15.0.3= 16.0.2= 16.0.3`	修正版なし
retail sales audit oracle	`= 14.1`	修正版なし
siebel engineering - installer & deployment oracle	`≤ 2.20.5`	修正版なし
siebel ui framework oracle	`= 20.6≤ 20.5`	修正版なし
webcenter portal oracle	`= 12.2.1.3.0= 12.2.1.4.0`	修正版なし
webcenter sites oracle	`= 12.2.1.3.0= 12.2.1.4.0`	修正版なし
weblogic server oracle	`= 12.2.1.3.0= 12.2.1.4.0`	修正版なし
jboss enterprise application platform redhat	`= 7.2.0= 7.3`	修正版なし

概要

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the commons-dbcp (1.4) jar in the classpath, and an attacker can find an RMI service endpoint to access, it is possible to make the service execute a malicious payload. This issue exists because of org.apache.commons.dbcp.datasources.SharedPoolDataSource and org.apache.commons.dbcp.datasources.PerUserPoolDataSource mishandling.

NVD の説明

参考情報

com.fasterxml.jackson.core:jackson-databind のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン