Unsafe Deserialization in com.fasterxml.jackson.core:jackson-databind (CVE-2020-11111)
Summary
Vulnerability in com.fasterxml.jackson.core:jackson-databind (CVE-2020-11111). Successful exploitation can lead to full system takeover. Mitigation: upgrade to 2.9.10.4 or later.
Original description
The description as published by the source.
FasterXML jackson-databind 2.x before 2.9.10.4 mishandles the interaction between serialization gadgets and typing, related to org.apache.activemq.* (aka activemq-jms, activemq-core, activemq-pool, and activemq-pool-jms).
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
FasterXML jackson-databindのバージョン2.xのうち、2.9.10.4より前のバージョンには、シリアライズガジェットとタイプ設定の処理に関する脆弱性があります。この問題はorg.apache.activemq.*に関連しています。攻撃者はこの脆弱性を利用してリモートコード実行を引き起こす可能性があります。
FasterXML jackson-databindのシリアライズガジェットとタイプ設定の誤処理の脆弱性。
jackson-databind 2.xのバージョン2.9.10.4より前。
高いリモートコード実行のリスクがあるため重要。
FasterXML jackson-databindをバージョン2.9.10.4以降にアップデートする。
パッチ適用まで外部の不明なデータのデシリアライズを制限する。
影響を確認するには、インストールされたjackson-databindのバージョンを確認する。
Affected packages
References
- advisory security.netapp.com
- advisory nvd.nist.gov
- package github.com
- web github.com
- web lists.debian.org
- web medium.com
- web oracle.com
- web oracle.com
- web oracle.com
- web oracle.com
- web medium.com
- web security.netapp.com