Unsafe Deserialization in com.fasterxml.jackson.core:jackson-databind (CVE-2020-11112)
Summary
Vulnerability in com.fasterxml.jackson.core:jackson-databind (CVE-2020-11112). Successful exploitation can lead to full system takeover. Mitigation: upgrade to 2.9.10.4 or later.
Original description
The description as published by the source.
FasterXML jackson-databind 2.x before 2.9.10.4 mishandles the interaction between serialization gadgets and typing, related to org.apache.commons.proxy.provider.remoting.RmiProvider (aka apache/commons-proxy).
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
FasterXML jackson-databindの2.9.10.4未満のバージョンには、シリアライゼーションガジェットと型付けの間の不適切な処理があり、org.apache.commons.proxy.provider.remoting.RmiProviderに関連しています。この脆弱性により、攻撃者がリモートコードを任意に実行する可能性があるため、危険です。影響を受けるユーザーは、パッチを適用することで脆弱性を修正できます。
jackson-databind 2.9.10.4未満のバージョンでのシリアライゼーションガジェットと型付けの不適切な処理。
org.apache.commons.proxy.provider.remoting.RmiProviderを使用しているシリアライズされたオブジェクト。
攻撃者が任意のコードをリモートで実行できる可能性があり、非常に危険。
jackson-databindを2.9.10.4以上のバージョンにアップデート。
影響を受ける機能を無効化する、またはジャクソンから特定の危険なモジュールを除外する。
影響を受けるバージョンのジャクソンを使用しているか確認する。
Affected packages
References
- advisory medium.com
- advisory security.netapp.com
- advisory nvd.nist.gov
- package github.com
- web github.com
- web lists.debian.org
- web oracle.com
- web oracle.com
- web oracle.com
- web oracle.com
- web medium.com
- web security.netapp.com