BDU:2019-01755 (CVE-2018-14721)

Уязвимость библиотеки jackson-databind, связанная с недостаточной проверкой поступающих запросов, позволяющая нарушителю осуществить SSRF-атаку

Опубликовано: 2019-05-07

Описание

Уязвимость библиотеки jackson-databind связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить SSRF-атаку с применением полиморфной десериализации

Затрагиваемое ПО и версии

Jackson-databind (от 2.0 до 2.9.7)Oracle Retail Merchandising System (15.0)Oracle Retail Merchandising System (16.0)Oracle JDeveloper (12.1.3.0.0)Oracle JDeveloper (12.2.1.3.0)

Способ устранения

Для библиотеки FasterXML jackson-databind использование рекомендаций:
https://github.com/FasterXML/jackson/wiki/Jackson-Release-2.9.7

Для продуктов Oracle использование рекомендаций:
https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html https://nvd.nist.gov/vuln/detail/CVE-2018-14721 https://github.com/FasterXML/jackson/wiki/Jackson-Release-2.9.7

Проверьте безопасность своего сайта и почты → Полная проверка домена