Code Injection in jackson-databind

高 8.1CVE-2020-24616 · GHSA-h3cw-g4mq-c5x2 · 25/08/2020 公開 · 08/10/2026 更新

要点

CVE-2020-24616 は com.fasterxml.jackson.core:jackson-databind, jackson-databind (fasterxml), agile product lifecycle management (oracle) に影響する深刻度「高」 (CVSS 8.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：7.6%（全脆弱性の 94.6% より高い）。
対処：2.9.10.6, 21.1.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.fasterxml.jackson.core:jackson-databind Maven	`≥ 2.0.0, < 2.9.10.6`	`2.9.10.6`
jackson-databind fasterxml	`≥ 2.0.0, < 2.9.10.6`	`2.9.10.6`
agile product lifecycle management oracle	`= 9.3.6`	修正版なし
application testing suite oracle	`= 13.3.0.1`	修正版なし
autovue for agile product lifecycle management oracle	`= 21.0.2`	修正版なし
banking liquidity management oracle	`= 14.2= 14.3= 14.5`	修正版なし
banking supply chain finance oracle	`= 14.2= 14.3= 14.5`	修正版なし
blockchain platform oracle	`< 21.1.2`	`21.1.2`
communications calendar server oracle	`= 8.0= 8.0.0.4.0`	修正版なし
communications cloud native core unified data repository oracle	`= 1.4.0`	修正版なし
communications contacts server oracle	`= 8.0= 8.0.0.5.0`	修正版なし
communications diameter signaling router oracle	`≥ 8.0.0, ≤ 8.2.2`	修正版なし
communications element manager oracle	`≥ 8.2.0, ≤ 8.2.4.0`	修正版なし
communications evolved communications application server oracle	`= 7.1`	修正版なし
communications instant messaging server oracle	`= 10.0.1.5.0`	修正版なし
communications messaging server oracle	`= 8.1`	修正版なし
communications offline mediation controller oracle	`= 12.0.0.3`	修正版なし
communications policy management oracle	`= 12.5.0`	修正版なし
communications pricing design center oracle	`= 12.0.0.4.0`	修正版なし
communications services gatekeeper oracle	`= 7.0`	修正版なし
communications session report manager oracle	`≥ 8.0.0.0, ≤ 8.2.2.1`	修正版なし
communications unified inventory management oracle	`= 7.4.1`	修正版なし
identity manager connector oracle	`= 11.1.1.5.0`	修正版なし
siebel ui framework oracle	`≤ 21.2`	修正版なし

概要

This project contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. FasterXML jackson-databind 2.x before 2.9.10.6 mishandles the interaction between serialization gadgets and typing, related to br.com.anteros.dbcp.AnterosDBCPDataSource (aka Anteros-DBCP).

NVD の説明

FasterXML jackson-databind 2.x before 2.9.10.6 mishandles the interaction between serialization gadgets and typing, related to br.com.anteros.dbcp.AnterosDBCPDataSource (aka Anteros-DBCP).

参考情報

nvd.nist.gov/vuln/detail/CVE-2020-24616 · ADVISORY
FasterXML/jackson-databind · WEB
FasterXML/jackson-databind commit 3d97153 · WEB
FasterXML/jackson-databind · PACKAGE
lists.debian.org/debian-lts-announce/2021/04/msg00025.html · WEB
medium.com/@cowtowncoder/on-jackson-cves-dont-panic-here-is-what-you-need-to-know-54cd0d6e8062 · WEB
security.netapp.com/advisory/ntap-20200904-0006 · WEB
oracle.com//security-alerts/cpujul2021.html · WEB
oracle.com/security-alerts/cpuApr2021.html · WEB
oracle.com/security-alerts/cpuapr2022.html · WEB
oracle.com/security-alerts/cpujan2021.html · WEB

com.fasterxml.jackson.core:jackson-databind のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン