jackson-databind polymorphic typing issue

緊急 9.8CVE-2019-17531 · GHSA-gjmw-vf9h-g25v · 12/10/2019 公開 · 08/10/2026 更新

要点

CVE-2019-17531 は com.fasterxml.jackson.core:jackson-databind, jackson-databind (fasterxml), banking platform (oracle) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：5.4%（全脆弱性の 92.7% より高い）。
対処：2.8.11.5, 2.9.10.1, 2.6.7.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.fasterxml.jackson.core:jackson-databind Maven	`≥ 2.7.0, < 2.8.11.5≥ 2.9.0, < 2.9.10.1< 2.6.7.3`	`2.8.11.52.9.10.12.6.7.3`
jackson-databind fasterxml	`≥ 2.0.0, < 2.6.7.3≥ 2.7.0, < 2.8.11.5≥ 2.9.0, < 2.9.10.1`	`2.6.7.32.8.11.52.9.10.1`
banking platform oracle	`= 2.4.0= 2.4.1= 2.5.0= 2.6.0= 2.6.1= 2.6.2= 2.7.0= 2.7.1= 2.9.0`	修正版なし
communications billing and revenue management oracle	`= 12.0.0.3.0= 7.5.0.23.0`	修正版なし
communications calendar server oracle	`= 8.0.0.2.0= 8.0.0.3.0`	修正版なし
communications cloud native core network slice selection function oracle	`= 1.2.1`	修正版なし
communications evolved communications application server oracle	`= 7.1`	修正版なし
global lifecycle management nextgen oui framework oracle	`= 12.2.1.3.0= 12.2.1.4.0= 13.9.4.2.2`	修正版なし
goldengate application adapters oracle	`= 19.1.0.0.0`	修正版なし
jd edwards enterpriseone orchestrator oracle	`= 9.2`	修正版なし
jd edwards enterpriseone tools oracle	`= 9.2`	修正版なし
primavera gateway oracle	`= 16.1= 16.2= 19.12.0≥ 17.7, ≤ 17.12.6≥ 18.8.0, ≤ 18.8.8`	修正版なし
retail merchandising system oracle	`= 15.0.3= 16.0.2= 16.0.3`	修正版なし
retail sales audit oracle	`= 14.1`	修正版なし
siebel engineering - installer & deployment oracle	`≤ 2.20.5`	修正版なし
trace file analyzer oracle	`= 12.2.0.1= 18c= 19c`	修正版なし
webcenter portal oracle	`= 12.2.1.3.0= 12.2.1.4.0`	修正版なし
webcenter sites oracle	`= 12.2.1.3.0= 12.2.1.4.0`	修正版なし
weblogic server oracle	`= 12.2.1.3.0= 12.2.1.4.0`	修正版なし
jboss enterprise application platform redhat	`= 7.2= 7.3`	修正版なし

概要

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 prior to 2.9.10.1, 2.8.11.5, and 2.6.7.3. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the apache-log4j-extra (version 1.2.x) jar in the classpath, and an attacker can provide a JNDI service to access, it is possible to make the service execute a malicious payload.

NVD の説明

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the apache-log4j-extra (version 1.2.x) jar in the classpath, and an attacker can provide a JNDI service to access, it is possible to make the service execute a malicious payload.

参考情報

com.fasterxml.jackson.core:jackson-databind のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン