CVE-2019-14892

Biblioteka jackson-databind obsługuje tzw. polimorficzną deserializację, która pozwala na odtworzenie obiektów różnych typów na podstawie danych wejściowych. W podatnych wersjach atakujący może spreparować złośliwy ładunek (payload) JSON wskazujący na klasy JNDI pochodzące z bibliotek Apache Commons Configuration 1 lub 2. Podczas deserializacji takiego payloadu biblioteka inicjuje zapytanie JNDI, co może prowadzić do załadowania i wykonania dowolnego kodu dostarczonego przez atakującego ze zdalnego serwera.

Atakujący może wykonać dowolny kod na serwerze (RCE) bez konieczności posiadania jakichkolwiek uprawnień, co może skutkować pełnym przejęciem kontroli nad systemem, naruszeniem poufności, integralności oraz dostępności danych.

Należy zaktualizować jackson-databind do wersji 2.9.10, 2.8.11.5 lub 2.6.7.3 (odpowiednio do używanej gałęzi). Użytkownicy produktów Red Hat powinni zastosować dostępne patche zgodnie z erratą RHSA-2020:0729. Dodatkowo zaleca się wyłączenie polimorficznej deserializacji (domyślny typing) jeśli nie jest wymagana oraz ograniczenie dostępu sieciowego do usług JNDI.

FasterXML jackson-databind w wersjach przed 2.9.10, 2.8.11.5 oraz 2.6.7.3; Red Hat Decision Manager oraz Red Hat JBoss Data Grid korzystające z podatnych wersji biblioteki

Podatność dotyczy wyłącznie środowisk, w których jednocześnie używana jest biblioteka jackson-databind z włączoną polimorficzną deserializacją oraz biblioteka Apache Commons Configuration 1 lub 2 dostępna w ścieżce klas aplikacji.