jackson-databind polymorphic typing issue

NGHIÊM TRỌNG 9.8CVE-2019-17531 · GHSA-gjmw-vf9h-g25v · Công bố 12/10/2019 · cập nhật 08/10/2026

Tóm tắt nhanh

CVE-2019-17531 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng com.fasterxml.jackson.core:jackson-databind, jackson-databind (fasterxml), banking platform (oracle).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 5.4%, cao hơn 92.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.8.11.5, 2.9.10.1, 2.6.7.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
com.fasterxml.jackson.core:jackson-databind Maven	`≥ 2.7.0, < 2.8.11.5≥ 2.9.0, < 2.9.10.1< 2.6.7.3`	`2.8.11.52.9.10.12.6.7.3`
jackson-databind fasterxml	`≥ 2.0.0, < 2.6.7.3≥ 2.7.0, < 2.8.11.5≥ 2.9.0, < 2.9.10.1`	`2.6.7.32.8.11.52.9.10.1`
banking platform oracle	`= 2.4.0= 2.4.1= 2.5.0= 2.6.0= 2.6.1= 2.6.2= 2.7.0= 2.7.1= 2.9.0`	Chưa có bản vá
communications billing and revenue management oracle	`= 12.0.0.3.0= 7.5.0.23.0`	Chưa có bản vá
communications calendar server oracle	`= 8.0.0.2.0= 8.0.0.3.0`	Chưa có bản vá
communications cloud native core network slice selection function oracle	`= 1.2.1`	Chưa có bản vá
communications evolved communications application server oracle	`= 7.1`	Chưa có bản vá
global lifecycle management nextgen oui framework oracle	`= 12.2.1.3.0= 12.2.1.4.0= 13.9.4.2.2`	Chưa có bản vá
goldengate application adapters oracle	`= 19.1.0.0.0`	Chưa có bản vá
jd edwards enterpriseone orchestrator oracle	`= 9.2`	Chưa có bản vá
jd edwards enterpriseone tools oracle	`= 9.2`	Chưa có bản vá
primavera gateway oracle	`= 16.1= 16.2= 19.12.0≥ 17.7, ≤ 17.12.6≥ 18.8.0, ≤ 18.8.8`	Chưa có bản vá
retail merchandising system oracle	`= 15.0.3= 16.0.2= 16.0.3`	Chưa có bản vá
retail sales audit oracle	`= 14.1`	Chưa có bản vá
siebel engineering - installer & deployment oracle	`≤ 2.20.5`	Chưa có bản vá
trace file analyzer oracle	`= 12.2.0.1= 18c= 19c`	Chưa có bản vá
webcenter portal oracle	`= 12.2.1.3.0= 12.2.1.4.0`	Chưa có bản vá
webcenter sites oracle	`= 12.2.1.3.0= 12.2.1.4.0`	Chưa có bản vá
weblogic server oracle	`= 12.2.1.3.0= 12.2.1.4.0`	Chưa có bản vá
jboss enterprise application platform redhat	`= 7.2= 7.3`	Chưa có bản vá

Mô tả

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 prior to 2.9.10.1, 2.8.11.5, and 2.6.7.3. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the apache-log4j-extra (version 1.2.x) jar in the classpath, and an attacker can provide a JNDI service to access, it is possible to make the service execute a malicious payload.

Mô tả của NVD

A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the apache-log4j-extra (version 1.2.x) jar in the classpath, and an attacker can provide a JNDI service to access, it is possible to make the service execute a malicious payload.

Tham khảo

Lỗ hổng khác của com.fasterxml.jackson.core:jackson-databind

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí