BDU:2019-01756 (CVE-2018-14720)

Уязвимость библиотеки jackson-databind, связанная с ошибкой ограничения XML-ссылок на внешние объекты, позволяющая нарушителю осуществить XXE-атаку

Опубликовано: 2019-05-07

Описание

Уязвимость библиотеки jackson-databind связана с ошибкой ограничения XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить XXE-атаку с использованием полиморфной десериализации

Затрагиваемое ПО и версии

Jackson-databind (от 2.0 до 2.9.7)Oracle Retail Merchandising System (15.0)Oracle Retail Merchandising System (16.0)Oracle JDeveloper (12.1.3.0.0)Oracle JDeveloper (12.2.1.3.0)

Способ устранения

Для библиотеки FasterXML jackson-databind использование рекомендаций:
https://github.com/FasterXML/jackson/wiki/Jackson-Release-2.9.7

Для продуктов Oracle использование рекомендаций:
https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html https://nvd.nist.gov/vuln/detail/CVE-2018-14720

Проверьте безопасность своего сайта и почты → Полная проверка домена