jackson-databind polymorphic typing issue

NGHIÊM TRỌNG 9.8CVE-2019-16943 · GHSA-fmmc-742q-jg75 · Công bố 01/10/2019 · cập nhật 07/10/2026

Tóm tắt nhanh

CVE-2019-16943 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng com.fasterxml.jackson.core:jackson-databind, jackson-databind (fasterxml), active iq unified manager (netapp).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 4.7%, cao hơn 91.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.8.11.5, 2.9.10.1, 2.6.7.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
com.fasterxml.jackson.core:jackson-databind Maven	`≥ 2.7.0, < 2.8.11.5≥ 2.9.0, < 2.9.10.1< 2.6.7.3`	`2.8.11.52.9.10.12.6.7.3`
jackson-databind fasterxml	`≥ 2.0.0, < 2.6.7.3≥ 2.7.0, < 2.8.11.5≥ 2.9.0, < 2.9.10.1`	`2.6.7.32.8.11.52.9.10.1`
active iq unified manager netapp	`≥ 7.3≥ 9.5`	Chưa có bản vá
banking platform oracle	`= 2.4.0= 2.4.1= 2.5.0= 2.6.0= 2.6.1= 2.6.2= 2.7.0= 2.7.1= 2.9.0`	Chưa có bản vá
communications billing and revenue management oracle	`= 12.0.0.3.0= 7.5.0.23.0`	Chưa có bản vá
communications calendar server oracle	`= 8.0.0.2.0= 8.0.0.3.0`	Chưa có bản vá
communications cloud native core network slice selection function oracle	`= 1.2.1`	Chưa có bản vá
communications evolved communications application server oracle	`= 7.1`	Chưa có bản vá
global lifecycle management nextgen oui framework oracle	`= 12.2.1.3.0= 12.2.1.4.0= 13.9.4.2.2`	Chưa có bản vá
goldengate application adapters oracle	`= 19.1.0.0.0`	Chưa có bản vá
jd edwards enterpriseone orchestrator oracle	`= 9.2`	Chưa có bản vá
jd edwards enterpriseone tools oracle	`= 9.2`	Chưa có bản vá
primavera gateway oracle	`= 16.1= 16.2= 19.12.0≥ 17.7, ≤ 17.12.6≥ 18.8.0, ≤ 18.8.8`	Chưa có bản vá
retail merchandising system oracle	`= 15.0.3= 16.0.2= 16.0.3`	Chưa có bản vá
retail sales audit oracle	`= 14.1`	Chưa có bản vá
siebel engineering - installer & deployment oracle	`≤ 2.20.5`	Chưa có bản vá
trace file analyzer oracle	`= 12.2.0.1= 18c= 19c`	Chưa có bản vá
webcenter portal oracle	`= 12.2.1.3.0= 12.2.1.4.0`	Chưa có bản vá
webcenter sites oracle	`= 12.2.1.3.0= 12.2.1.4.0`	Chưa có bản vá
weblogic server oracle	`= 12.2.1.3.0= 12.2.1.4.0`	Chưa có bản vá
jboss enterprise application platform redhat	`= 7.2= 7.3`	Chưa có bản vá

Mô tả

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 prior to 2.9.10.1, 2.8.11.5, and 2.6.7.3. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the p6spy (3.8.6) jar in the classpath, and an attacker can find an RMI service endpoint to access, it is possible to make the service execute a malicious payload. This issue exists because of com.p6spy.engine.spy.P6DataSource mishandling.

Mô tả của NVD

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the p6spy (3.8.6) jar in the classpath, and an attacker can find an RMI service endpoint to access, it is possible to make the service execute a malicious payload. This issue exists because of com.p6spy.engine.spy.P6DataSource mishandling.

Tham khảo

Lỗ hổng khác của com.fasterxml.jackson.core:jackson-databind

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí