BDU:2019-04797 (CVE-2018-5968)

Уязвимость библиотеки Jackson-databind, связанная с недостатками механизма десериализации, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2019-12-22

Описание

Уязвимость библиотеки Jackson-databind связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Common Edition (2.12 «Орёл»)OpenShift Container Platform (4.1)Red Hat Virtualization (4.0)Debian GNU/Linux (8)OpenShift Container Platform (3.11)Jackson-databind (до 2.7.9.5)Jackson-databind (от 2.8.0 до 2.8.11 включительно)Jackson-databind (от 2.9.0 до 2.9.3 включительно)

Способ устранения

Использование рекомендаций:
Для Jackson-databind:
https://github.com/FasterXML/jackson-databind/commit/038b471e2efde2e8f96b4e0be958d3e5a1ff1d05
https://github.com/FasterXML/jackson-databind/issues/1899

Для Debian GNU/Linux:
https://www.debian.org/security/2018/dsa-4114

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/errata/RHSA-2019:3149
https://access.redhat.com/errata/RHSA-2019:2858
https://access.redhat.com/errata/RHSA-2018:1525

Для Astra Linux:
Обновление программного обеспечения (пакета jackson-databind) до 2.9.8-3+deb10u1 или более поздней версии

Оценка CVSS

Балл	7.6 — высокая опасность

Источники и патчи

https://access.redhat.com/security/cve/cve-2018-5968 https://github.com/FasterXML/jackson-databind/issues/1899 https://www.debian.org/security/2018/dsa-4114 https://access.redhat.com/errata/RHSA-2019:3149 https://access.redhat.com/errata/RHSA-2019:2858 https://access.redhat.com/errata/RHSA-2018:1525 https://github.com/FasterXML/jackson-databind/commit/038b471e2efde2e8f96b4e0be958d3e5a1ff1d05

Проверьте безопасность своего сайта и почты → Полная проверка домена