Unsafe Deserialization in com.fasterxml.jackson.core:jackson-databind (CVE-2020-10672)
Summary
Vulnerability in com.fasterxml.jackson.core:jackson-databind (CVE-2020-10672). Successful exploitation can lead to full system takeover. Mitigation: upgrade to 2.9.10.4 or later.
Original description
The description as published by the source.
FasterXML jackson-databind 2.x before 2.9.10.4 mishandles the interaction between serialization gadgets and typing, related to org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory (aka aries.transaction.jms).
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
FasterXMLのライブラリであるjackson-databindのバージョン2.9.10.4未満に、シリアライゼーションガジェットと型指定の不適切な処理による脆弱性が存在します。この脆弱性は、org.apache.aries.transaction.jms.internal.XaPooledConnectionFactoryに関連しています。攻撃者はこの脆弱性を利用して任意のコードを実行できる可能性があります。
シリアライゼーションガジェットと型指定の不適切な処理に起因する脆弱性
FasterXML jackson-databind 2.x (2.9.10.4未満)
攻撃者が任意コードを実行できる可能性があり、深刻な影響を及ぼす。
jackson-databindをバージョン2.9.10.4以上にアップデートしてください。
情報なし
使用中のライブラリのバージョンが2.9.10.4未満であるかを確認する。
Affected packages
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Debian DEBIAN-CVE-2020-10672 jackson-databind Fixed in: 2.11.1-1
References
- advisory security.netapp.com
- advisory nvd.nist.gov
- package github.com
- web github.com
- web lists.debian.org
- web medium.com
- web oracle.com
- web oracle.com
- web oracle.com
- web oracle.com
- web github.com
- web github.com
- web medium.com
- web security.netapp.com