p PatchFirst

CVE-2019-14893

CVE-2019-14893

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

A flaw was discovered in FasterXML jackson-databind in all versions before 2.9.10 and 2.10.0, where it would permit polymorphic deserialization of malicious objects using the xalan JNDI gadget when used in conjunction with polymorphic type handling methods such as `enableDefaultTyping()` or when @JsonTypeInfo is using `Id.CLASS` or `Id.MINIMAL_CLASS` or in any other way which ObjectMapper.readValue might instantiate objects from unsafe sources. An attacker could use this flaw to execute arbitrary code.

CVSS 7.5 · Alta · EPSS 4,1% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • jackson-databind

    Versiones
    • 2.9.10: Afectada
    • 2.10.0: Afectada

    Sin corrección publicada

  • jackson-databind Debian:12

    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.10.0-1

    Actualiza a 2.10.0-1

  • jackson-databind Debian:13

    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.10.0-1

    Actualiza a 2.10.0-1

  • jackson-databind Debian:14

    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.10.0-1

    Actualiza a 2.10.0-1

  • jackson-databind Ubuntu:Pro:14.04:LTS

    Versiones
    • 2.2.2-1
    • 2.2.2-1ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jackson-databind Ubuntu:18.04:LTS

    Versiones
    • 2.8.6-1
    • 2.9.1-1
    • 2.9.4-1
    • 2.9.5-1
    • 2.9.8-1~18.04
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →