Unsafe Deserialization in com.fasterxml.jackson.core:jackson-databind (CVE-2020-11113)
Summary
Vulnerability in com.fasterxml.jackson.core:jackson-databind (CVE-2020-11113). Successful exploitation can lead to full system takeover. Mitigation: upgrade to 2.9.10.4 or later.
Original description
The description as published by the source.
FasterXML jackson-databind 2.x before 2.9.10.4 mishandles the interaction between serialization gadgets and typing, related to org.apache.openjpa.ee.WASRegistryManagedRuntime (aka openjpa).
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
FasterXML jackson-databindのバージョン2.xは、2.9.10.4より前のバージョンで、シリアル化ガジェットとタイプの間の相互作用を誤処理しています。openjpaライブラリの特定機能が悪用される可能性があります。この脆弱性により、攻撃者はリモートコード実行を行う可能性があります。ユーザーはすぐに最新のパッチを適用することが推奨されます。
FasterXML jackson-databindのシリアル化ガジェットとタイプの間の誤処理。
バージョン2.x（2.9.10.4未満）。
リモートコード実行の可能性があり、非常に重大。
バージョン2.9.10.4以降に更新する。
情報なし。
使用しているジャクソンライブラリのバージョンを確認し、影響を受けるかを判断する。
Affected packages
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Debian DEBIAN-CVE-2020-11113 jackson-databind Fixed in: 2.11.1-1
References
- advisory medium.com
- advisory security.netapp.com
- advisory nvd.nist.gov
- package github.com
- web github.com
- web lists.debian.org
- web oracle.com
- web oracle.com
- web oracle.com
- web oracle.com
- web github.com
- web github.com
- web medium.com
- web security.netapp.com