CVE-2019-16335

Niebezpieczna deserializacja (Polymorphic Typing) w FasterXML jackson-databind

CVSS 9.8v3.1pub. 2019-09-15upd. 2024-11-21

W bibliotece FasterXML jackson-databind przed wersją 2.9.10 odkryto podatność typu Polymorphic Typing związaną z klasą com.zaxxer.hikari.HikariDataSource. Błąd pozwala atakującemu na zdalne wykonanie kodu bez uwierzytelnienia, co czyni go krytycznym zagrożeniem.

▸ Pokaż oryginał (EN)

A Polymorphic Typing issue was discovered in FasterXML jackson-databind before 2.9.10. It is related to com.zaxxer.hikari.HikariDataSource. This is a different vulnerability than CVE-2019-14540.

🤖 Analiza AI

Jak działa

Podatność wynika z niebezpiecznej deserializacji (CWE-502) — biblioteka jackson-databind w określonych konfiguracjach pozwala na dynamiczne określanie typów obiektów podczas deserializacji danych JSON. Atakujący może spreparować złośliwy payload JSON wskazujący na klasę com.zaxxer.hikari.HikariDataSource, co prowadzi do załadowania i wykonania niezaufanego kodu po stronie serwera. Jest to odrębna podatność od CVE-2019-14540, choć należy do tej samej rodziny problemów z Polymorphic Typing.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze (RCE) bez jakiegokolwiek uwierzytelnienia, co może prowadzić do pełnego przejęcia kontroli nad systemem, ujawnienia poufnych danych lub naruszenia ich integralności.

Mitygacja

Należy zaktualizować FasterXML jackson-databind do wersji 2.9.10 lub nowszej. Dla systemów Red Hat dostępne są errata: RHSA-2019:3200, RHSA-2020:0159, RHSA-2020:0160, RHSA-2020:0161, RHSA-2020:0164. Dodatkowo zaleca się wyłączenie domyślnego typowania (Default Typing) w konfiguracji biblioteki, jeśli nie jest bezwzględnie wymagane.

Kogo dotyczy

FasterXML jackson-databind w wersjach przed 2.9.10 oraz Fedora Project Fedora (wersje wskazane w referencjach producenta)

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Debian
OS
Debian
10.08.09.0
Fasterxml Jackson Databind
APP
Fasterxml
2.0.0 – 2.6.7.3 (bez)2.7.0 – 2.8.11.5 (bez)2.9.0 – 2.9.10 (bez)
Fedora Project Fedora
OS
Fedoraproject
3031
Netapp Oncommand Api Services
APP
Netapp
wszystkie wersje
Netapp Oncommand Workflow Automation
APP
Netapp
wszystkie wersje
Netapp Steelstore Cloud Integrated Storage
APP
Netapp
wszystkie wersje
Oracle Banking Platform
APP
Oracle
2.4.02.4.12.5.02.6.02.6.12.7.02.7.1
Oracle Customer Management And Segmentation Foundation
APP
Oracle
18.0
Oracle Financial Services Analytical Applications Infrastructure
APP
Oracle
8.0.2 – 8.0.8
Oracle Global Lifecycle Management Opatch
APP
Oracle
12.2.0.1.0 – 12.2.0.1.19 (bez)13.9.4.0.0 – 13.9.4.2.1 (bez)< 11.2.0.3.23
Oracle Goldengate Application Adapters
APP
Oracle
19.1.0.0.0
Oracle Goldengate Stream Analytics
APP
Oracle
< 19.1.0.0.1
Oracle Primavera Gateway
APP
Oracle
15.216.116.218.8.017.7 – 17.12
Oracle Retail Customer Management And Segmentation Foundation
APP
Oracle
17.0
Oracle Retail Xstore Point Of Service
APP
Oracle
15.016.017.018.07.1
Oracle Weblogic Server
APP
Oracle
12.2.1.3.0
Red Hat Enterprise Linux
OS
Redhat
6.07.08.0
Red Hat Jboss Enterprise Application Platform
APP
Redhat
7.27.3