BDU:2019-04252 (CVE-2019-12384)

Уязвимость библиотеки Jackson-databind, связанная с неспособностью заблокировать класс logback-core от полиморфной десериализации, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2019-11-25

Описание

Уязвимость библиотеки Jackson-databind связана с неспособностью заблокировать класс logback-core от полиморфной десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (8)Debian GNU/Linux (10)NoSQL Database (до 19.3.12 включительно)Jackson-databind (от 2.0 до 2.9.9.1)GoldenGate Stream Analytics (до 19.1.0.0.1)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Обновление библиотеки Jackson-databind до версии 2.9.9.1 или новее

Использование рекомендаций производителя для программных средств Oracle:
https://www.oracle.com/technetwork/topics/security/public-vuln-to-advisory-mapping-093627.html
https://www.oracle.com/security-alerts/cpujul2020.html

Для ОС ОН «Стрелец»:
Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10

Оценка CVSS

Балл	7.1 — высокая опасность

Источники и патчи

https://www.oracle.com/technetwork/topics/security/public-vuln-to-advisory-mapping-093627.html https://nvd.nist.gov/vuln/detail/CVE-2019-12384 https://github.com/FasterXML/jackson-databind/compare/74b90a4...a977aad https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023

Проверьте безопасность своего сайта и почты → Полная проверка домена