Vulnerabilidad en shaded hikari-config en FasterXML jackson-databind (CVE-2020-9546)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-502
Deserialización de datos no confiables
Fecha de publicación:
02/03/2020
Última modificación:
07/11/2023
Descripción
FasterXML jackson-databind versiones 2.x anteriores a 2.9.10.4 maneja inapropiadamente la interacción entre la serialización de gadgets y el tipeo, relacionada a org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig (también se conoce como shaded hikari-config).
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
6.80
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:* | 2.7.0 (incluyendo) | 2.7.9.7 (excluyendo) |
cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:* | 2.8.0 (incluyendo) | 2.8.11.6 (excluyendo) |
cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:* | 2.9.0 (incluyendo) | 2.9.10.4 (excluyendo) |
cpe:2.3:a:netapp:active_iq_unified_manager:*:*:*:*:*:linux:*:* | 7.3 (incluyendo) | |
cpe:2.3:a:netapp:active_iq_unified_manager:*:*:*:*:*:windows:*:* | 7.3 (incluyendo) | |
cpe:2.3:a:netapp:active_iq_unified_manager:*:*:*:*:*:vmware_vsphere:*:* | 9.5 (incluyendo) | |
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:agile_plm:9.3.6:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:autovue_for_agile_product_lifecycle_management:21.0.2:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:banking_digital_experience:18.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:banking_digital_experience:18.2:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:banking_digital_experience:18.3:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:banking_digital_experience:19.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:banking_digital_experience:19.2:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:banking_digital_experience:20.1:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/FasterXML/jackson-databind/issues/2631
- https://lists.apache.org/thread.html/r35d30db00440ef63b791c4b7f7acb036e14d4a23afa2a249cb66c0fd%40%3Cissues.zookeeper.apache.org%3E
- https://lists.apache.org/thread.html/r893a0104e50c1c2559eb9a5812add28ae8c3e5f43712947a9847ec18%40%3Cnotifications.zookeeper.apache.org%3E
- https://lists.apache.org/thread.html/r9464a40d25c3ba1a55622db72f113eb494a889656962d098c70c5bb1%40%3Cdev.zookeeper.apache.org%3E
- https://lists.apache.org/thread.html/r98c9b6e4c9e17792e2cd1ec3e4aa20b61a791939046d3f10888176bb%40%3Cissues.zookeeper.apache.org%3E
- https://lists.apache.org/thread.html/rb6fecb5e96a6d61e175ff49f33f2713798dd05cf03067c169d195596%40%3Cissues.zookeeper.apache.org%3E
- https://lists.apache.org/thread.html/rd5a4457be4623038c3989294429bc063eec433a2e55995d81591e2ca%40%3Cissues.zookeeper.apache.org%3E
- https://lists.apache.org/thread.html/rdd49ab9565bec436a896bc00c4b9fc9dce1598e106c318524fbdfec6%40%3Cissues.zookeeper.apache.org%3E
- https://lists.apache.org/thread.html/rdd4df698d5d8e635144d2994922bf0842e933809eae259521f3b5097%40%3Cissues.zookeeper.apache.org%3E
- https://lists.apache.org/thread.html/rf1bbc0ea4a9f014cf94df9a12a6477d24a27f52741dbc87f2fd52ff2%40%3Cissues.geode.apache.org%3E
- https://lists.debian.org/debian-lts-announce/2020/03/msg00008.html
- https://medium.com/%40cowtowncoder/on-jackson-cves-dont-panic-here-is-what-you-need-to-know-54cd0d6e8062
- https://security.netapp.com/advisory/ntap-20200904-0006/
- https://www.oracle.com/security-alerts/cpujan2021.html
- https://www.oracle.com/security-alerts/cpujul2020.html
- https://www.oracle.com/security-alerts/cpuoct2020.html
- https://www.oracle.com/security-alerts/cpuoct2021.html