BDU:2019-01757 (CVE-2018-14719)

Уязвимость библиотеки jackson-databind, связанная с восстановленим в памяти недостоверной структуры данных, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2019-05-07

Описание

Уязвимость библиотеки jackson-databind вызвана отсутствием защиты классов blaze-ds-opt и blaze-ds-core от полиморфной десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Затрагиваемое ПО и версии

Jackson-databind (от 2.0 до 2.9.7)Oracle Retail Merchandising System (15.0)Oracle Retail Merchandising System (16.0)Oracle JDeveloper (12.1.3.0.0)Oracle JDeveloper (12.2.1.3.0)

Способ устранения

Для библиотеки FasterXML jackson-databind использование рекомендаций:
https://github.com/FasterXML/jackson/wiki/Jackson-Release-2.9.7

Для продуктов Oracle использование рекомендаций:
https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html https://nvd.nist.gov/vuln/detail/CVE-2018-14719

Проверьте безопасность своего сайта и почты → Полная проверка домена