Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.9.9 以前の FasterXML jackson-databind 2.x に、多態的型付けの問題が見つかりました。デフォルトの型付け (グローバルにまたは特定のプロパティに対して) が、外部に公開されているJSONエンドポイントに有効になっていて、サービスにはクラスパスのmysql-connector-java jar (8.0.14以前) があり、攻撃者が被害者の到達可能な細工されたMySQLサーバーをホストできる場合、攻撃者は細工されたJSONメッセージを送信して、サーバー上で任意のローカルファイルを読み取る可能性があります。これは、com.mysql.cj.jdbc.admin.MiniAdmin が検証されないことが原因です。(CVE-2019-12086)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

遠端主機上安裝的 Oracle WebCenter Portal 缺少 2019 年 10 月重大修補程式更新 (CPU) 的安全性修補程式。因此會受到 FasterXML jackson-databind 子元件中的任意檔案讀取弱點影響。這是因為缺少 com.mysql.cj.jdbc.admin.MiniAdmin 驗證所致。未經驗證的遠端攻擊者可惡意利用此弱點，透過傳送特製的 JSON 訊息，讀取任意檔案並洩露敏感資訊。

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Oracle Primavera Unifier 安裝版本是 16.1.x 或比 16.2.15.10 舊的 16.2.x、或是 17.12.11.1 之前的 17.7.x 至 17.12.x、比 18.8.13.0 舊的 18.8.x。因此，會受到多個弱點影響：- 在 Primavera Unifier 的 jackson-databind 元件中使用「ehcache」時，處理「default typing」的方式有一個不明缺陷。未經驗證的遠端攻擊者可透過網路經由 HTTP 惡意利用此缺陷，來造成遠端程式碼執行。(CVE-2019-14379) - Primavera Unifier 的 jackson-databind 元件中有一個資訊洩漏弱點。若服務的類別路徑中有 mysql-connector-java jar，且攻擊者可主控受害者可存取的特製 MySQL 伺服器，未經驗證的遠端攻擊者即可透過外露的 JSON 端點來惡意利用此弱點。攻擊者可傳送特製的 JSON 訊息來讀取伺服器上的任意本機檔案。(CVE-2019-12086) - Primavera Unifier 的 jackson-databind 元件中有一個資訊洩漏弱點。若服務的類別路徑中有 logback jar，未經驗證的遠端攻擊者即可透過外露的 JSON 端點惡意利用此弱點，進而造成資訊洩漏。(CVE-2019-14439) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 1454 公告中提及的多個弱點影響。

  - rubygem-net-ldap：缺少 SSL 憑證驗證 (CVE-2017-17718)

  - mina-core：保留 close_notify SSL-TLS 中的開放通訊端，會導致資訊洩漏。
    (CVE-2019-0231)

  - apache-commons-beanutils：未預設隱藏 PropertyUtilsBean 中的類別屬性 (CVE-2019-10086)

  - jackson-databind：攻擊者可利用多型態輸入問題，讀取伺服器上的任意本機檔案。
    (CVE-2019-12086)

  - rubygem-foreman_ansible: 來自 Job Invocation 的使用者輸入項目可能包含敏感資料 (CVE-2020-10716)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 7.2 之 Red Hat JBoss Enterprise Application Platform 6 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。本版本 Red Hat JBoss Enterprise Application Platform 7.2.4 是 Red Hat JBoss Enterprise Application Platform 7.2.3 的替代版本，其中包含錯誤修正和增強功能。如需此本版本中包含的最重要錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.2.4 版本資訊。安全性修正：* jackson-databind：預設輸入處理不當導致遠端程式碼執行 (CVE-2019-14379) * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 (CVE-2019-12384) * jackson-databind：多型輸入問題可讓攻擊者透過特製 JSON 訊息而讀取伺服器上的任意本機檔案 (CVE-2019-12814) * undertow：io.undertow.request.security 的 DEBUG 記錄如果啟用，會將認證洩漏到記錄檔 (CVE-2019-10212) * codehaus：jackson-databind 弱點中的不安全還原序列化的修正不完整 (CVE-2019-10202) * jackson-databind：多型輸入問題可讓攻擊者讀取伺服器上的任意本機檔案 (CVE-2019-12086) * undertow：要求目錄但遺漏結尾斜線而導致資訊洩漏 (CVE-2019-10184)

遠端 Ubuntu 16.04 ESM 主機上安裝的一個套件受到 USN-4813-1 公告中提及的多個弱點影響。

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.5 版本中發現一個問題。將 Jackson 預設輸入與 iBatis 的小工具類別一起使用時，可允許發生內容洩漏。已在 2.7.9.4、2.8.11.2 和 2.9.6 版中修正。(CVE-2018-11307)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 以及 2.9.6 版本中發現一個問題。當啟用 Default Typing (全域或針對特定屬性) 時，攻擊者可以透過提供 LDAP 服務來進行存取該服務類別路徑中的 Jodd-db jar (用於 Jodd 框架的資料庫存取)，從而可能使該服務執行惡意負載。(CVE-2018-12022)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 以及 2.9.6 版本中發現一個問題。當啟用 Default Typing (全域或針對特定屬性) 時，攻擊者可以透過提供 LDAP 服務來進行存取該服務類別路徑中的 Oracle JDBC jar，從而可能使該服務執行惡意負載。(CVE-2018-12023)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本允許遠端攻擊者利用無法封鎖來自多型還原序列化的 slf4j-ext 類別，執行任意程式碼。(CVE-2018-14718)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許遠端攻擊者利用無法封鎖來自多型還原序列化的 blaze-ds-opt 和 blaze-ds-core 類別，執行任意程式碼。
    (CVE-2018-14719)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的不明 JDK 類別，造成不明影響。
    (CVE-2018-14720)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許遠端攻擊者利用無法封鎖來自多型還原序列化的 axis2-jaxws 類別，執行伺服器端要求偽造 (SSRF) 攻擊。(CVE-2018-14721)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 axis2-transport-jms 類別，造成不明影響。(CVE-2018-19360)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 openjpa 類別，造成不明影響。(CVE-2018-19361)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 jboss-common-core 類別，造成不明影響。(CVE-2018-19362)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 版本中發現一個多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，該服務在類別路徑中具有 mysql-connector-java jar (8.0.14 或更早版本)，攻擊者可以託管受害者可存取的特製 MySQL 伺服器、攻擊者可以傳送特製的 JSON 資訊，允許其讀取伺服器上的任意本機檔案。這是因為缺少 com.mysql.cj.jdbc.admin.MiniAdmin 驗證所致。(CVE-2019-12086)

  - FasterXML jackson-databind 2.x 的 2.9.9.1 之前版本可能允許攻擊者利用無法阻止 logback-core 類別多型還原序列化的故障，來造成各種影響。視類別路徑內容而定，可能會導致遠端程式碼執行。(CVE-2019-12384)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 中發現多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，且該服務在類別路徑中具有 JDOM 1.x 或 2.x 時，攻擊者可以傳送特製的 JSON 訊息，讓他們可以讀取伺服器上的任意本機檔案。(CVE-2019-12814)

  - 在 FasterXML jackson-databind 2.9.9.2 之前版本中，SubTypeValidator.java 在使用 ehcache 時未正確處理預設輸入 (因為 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup)，進而導致遠端程式碼執行。(CVE-2019-14379)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9.2 版本中發現一個多型態輸入問題。當針對外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定內容)，且服務在類別路徑中有 logback jar 時，會發生此情況。(CVE-2019-14439)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。這與 com.zaxxer.hikari.HikariConfig 有關。(CVE-2019-14540)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。這與 com.zaxxer.hikari.HikariDataSource 有關。此弱點與 CVE-2019-14540 不同。
    (CVE-2019-16335)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或針對特定屬性)，且服務在類別路徑中具有 commons-dbcp (1.4) jar 時，如果攻擊者可找到要存取的 RMI 服務端點，則可能會使服務執行惡意承載。產生此問題的原因是，org.apache.commons.dbcp.datasources.SharedPoolDataSource 和 org.apache.commons.dbcp.datasources.PerUserPoolDataSource 處理不正確。(CVE-2019-16942)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或特定內容)，且服務在類別路徑中具有 p6spy (3.8.6) jar 時，如果攻擊者可找到要存取的 RMI 服務端點，則可能會使服務執行惡意承載。此問題之所以存在，是因為 com.p6spy.engine.spy.P6DataSource 處理不當。(CVE-2019-16943)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。該問題與 net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup 有關。(CVE-2019-17267)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或針對特定屬性)，且服務在類別路徑中具有 apache-log4j-extra (1.2.x 版本) jar 時，如果攻擊者可提供 JNDI 服務端點，則可能會使服務執行惡意承載。(CVE-2019-17531)

  - FasterXML jackson-databind 2.x 至 2.9.10.2 版本缺少特定 net.sf.ehcache 封鎖。(CVE-2019-20330)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory (即 aries.transaction.jms) 相關。(CVE-2020-10672)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 com.caucho.config.types.ResourceRef (即 caucho-quercus) 相關。(CVE-2020-10673)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.aoju.bus.proxy.provider.remoting.RmiProvider 有關 (即 bus-proxy)。(CVE-2020-10968)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 javax.swing.JEditorPane 有關。(CVE-2020-10969)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.activemq 有關 * (即 activemq-jms、activemq-core、activemq-pool 和 activemq-pool-jms)。(CVE-2020-11111)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.proxy.provider.remoting.RmiProvider 有關 (即 apache/commons-proxy)。
    (CVE-2020-11112)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 rg.apache.openjpa.ee.WASRegistryManagedRuntime 有關 (即 openjpa)。(CVE-2020-11113)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.springframework.aop.config.MethodLocatingFactoryBean 有關 (即 spring-aop)。
    (CVE-2020-11619)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.jelly.impl.Embedded 有關 (即 commons-jelly)。(CVE-2020-11620)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 oadd.org.apache.xalan.lib.sql.JNDIConnectionPool (即 apache/drill)。
    (CVE-2020-14060)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會不當處理序列化小工具與輸入之間的互動，此問題涉及 oracle.jms.AQjmsQueueConnectionFactory、oracle.jms.AQjmsXAtopicConnectionFactory、oracle.jms.AQjmstopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory 和 oracle.jms.AQjmsXAConnectionFactory (即 weblogic/oracle-aqjms)。(CVE-2020-14061)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool (即 xalan2)。
    (CVE-2020-14062)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 org.jsecurity.realm.jndi.JndiRealmFactory (即 org.jsecurity)。(CVE-2020-14195)

  - FasterXML jackson-databind 2.0.0 至 2.9.10.2 版本缺少特定 xbean-reflect/JNDI 封鎖，org.apache.xbean.propertyeditor.JndiConverter 即為一例。(CVE-2020-8840)

  FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig (即陰影 hikari-config) 相關。
    (CVE-2020-9546)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與類型之間的互動，此問題與 com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (即 ibatis-sqlmap) 相關。
    (CVE-2020-9547)

  FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 br.com.anteros.dbcp.AnterosDBCPConfig (即 anteros-core) 相關。(CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 7.2 之 Red Hat JBoss Enterprise Application Platform 7 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。本版本 Red Hat JBoss Enterprise Application Platform 7.2.4 是 Red Hat JBoss Enterprise Application Platform 7.2.3 的替代版本，其中包含錯誤修正和增強功能。如需此本版本中包含的最重要錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.2.4 版本資訊。安全性修正：* jackson-databind：預設輸入處理不當導致遠端程式碼執行 (CVE-2019-14379) * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 (CVE-2019-12384) * jackson-databind：多型輸入問題可讓攻擊者透過特製 JSON 訊息而讀取伺服器上的任意本機檔案 (CVE-2019-12814) * undertow：io.undertow.request.security 的 DEBUG 記錄如果啟用，會將認證洩漏到記錄檔 (CVE-2019-10212) * codehaus：jackson-databind 弱點中的不安全還原序列化的修正不完整 (CVE-2019-10202) * jackson-databind：多型輸入問題可讓攻擊者讀取伺服器上的任意本機檔案 (CVE-2019-12086) * undertow：要求目錄但遺漏結尾斜線而導致資訊洩漏 (CVE-2019-10184)

現已提供適用於 Red Hat Enterprise Linux 8 之 Red Hat JBoss Enterprise Application Platform 7.2 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。本版本 Red Hat JBoss Enterprise Application Platform 7.2.4 是 Red Hat JBoss Enterprise Application Platform 7.2.3 的替代版本，其中包含錯誤修正和增強功能。如需此本版本中包含的最重要錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.2.4 版本資訊。安全性修正：* jackson-databind：預設輸入處理不當導致遠端程式碼執行 (CVE-2019-14379) * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 (CVE-2019-12384) * jackson-databind：多型輸入問題可讓攻擊者透過特製 JSON 訊息而讀取伺服器上的任意本機檔案 (CVE-2019-12814) * undertow：io.undertow.request.security 的 DEBUG 記錄如果啟用，會將認證洩漏到記錄檔 (CVE-2019-10212) * codehaus：jackson-databind 弱點中的不安全還原序列化的修正不完整 (CVE-2019-10202) * jackson-databind：多型輸入問題可讓攻擊者讀取伺服器上的任意本機檔案 (CVE-2019-12086) * undertow：要求目錄但遺漏結尾斜線而導致資訊洩漏 (CVE-2019-10184)

リモートの Ubuntu 16.04ESM ホストにインストールされているパッケージは、USN-4813-1のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - FasterXML jackson-databind 2.0.0 から 2.9.5 に、問題が見つかりました。Jackson のデフォルトの型付けを iBatis の gadget クラスとともに使用すると、コンテンツの抜き取りが可能になります。2.7.9.4、2.8.11.2、および 2.9.6 で修正されました。(CVE-2018-11307)

  - FasterXML jackson-databind、2.7.9.42.8.11.2、2.9.6に問題が見つかりました。デフォルトの型付けが (グローバルまたは特定のプロパティに対して) 有効化されており、サービスのクラスパスに (Jodd フレームワークのデータベースアクセス用) Jodd-db jar がある場合、攻撃者は、アクセスする LDAP サービスを追加し、サービスに悪意のあるペイロードを実行させることが可能です。(CVE-2018-12022)

  - FasterXML jackson-databind、2.7.9.42.8.11.2、2.9.6に問題が見つかりました。デフォルトの型付けが (グローバルまたは特定のプロパティに対して) 有効化されており、サービスのクラスパスに Oracle JDBC jar がある場合、攻撃者は、アクセスする LDAP サービスを追加し、サービスに悪意のあるペイロードを実行させることが可能です。(CVE-2018-12023)

  - 2.9.7 より前の FasterXML jackson-databind 2.x では、slf4j-ext クラスの多態的な逆シリアル化をブロックするのに失敗するため、それを悪用してリモートの攻撃者が任意のコードを実行する可能性があります。(CVE-2018-14718)

  - 2.9.7 より前の FasterXML jackson-databind 2.x では、blaze-ds-opt クラスと blaze-ds-core クラスの多態的な逆シリアル化をブロックするのに失敗するため、それを悪用してリモートの攻撃者が任意のコードを実行する可能性があります。
    (CVE-2018-14719)

  - 2.9.7 より前の FasterXML jackson-databind 2.x では、指定していない JDK クラスの多態的な逆シリアル化をブロックするのに失敗するため、それを悪用して攻撃者が外部 XML エンティティ (XXE) 攻撃を実行する可能性があります。
    (CVE-2018-14720)

  - 2.9.7 より前の FasterXML jackson-databind 2.x では、axis2-jaxws クラスの多態的な逆シリアル化をブロックするのに失敗するため、それを悪用してリモートの攻撃者がサーバーサイドリクエストフォージェリ (SSRF) を実行する可能性があります。(CVE-2018-14721)

  - 2.9.8 より前の FasterXML jackson-databind 2.x では、axis2-transport-jms クラスの多態的な逆シリアル化をブロックするのに失敗するため、それを悪用してリモートの攻撃者が詳細不明な影響を及ぼす可能性があります。(CVE-2018-19360)

  - 2.9.8 より前の FasterXML jackson-databind 2.x では、openjpa クラスの多態的な逆シリアル化をブロックするのに失敗するため、それを悪用してリモートの攻撃者が詳細不明な影響を及ぼす可能性があります。(CVE-2018-19361)

  - 2.9.8 より前の FasterXML jackson-databind 2.x では、jboss-common-core クラスの多態的な逆シリアル化をブロックするのに失敗するため、それを悪用してリモートの攻撃者が詳細不明な影響を及ぼす可能性があります。(CVE-2018-19362)

  - 2.9.9 以前の FasterXML jackson-databind 2.x に、多態的型付けの問題が見つかりました。デフォルトの型付け (グローバルにまたは特定のプロパティに対して) が、外部に公開されているJSONエンドポイントに有効になっていて、サービスにはクラスパスのmysql-connector-java jar (8.0.14以前) があり、攻撃者が被害者の到達可能な細工されたMySQLサーバーをホストできる場合、攻撃者は細工されたJSONメッセージを送信して、サーバー上で任意のローカルファイルを読み取る可能性があります。これは、com.mysql.cj.jdbc.admin.MiniAdmin が検証されないことが原因です。(CVE-2019-12086)

  - 2.9.9.1 より前の 2.x の FasterXML jackson-databind では、logback-core クラスの多態的な逆シリアル化をブロックするのに失敗するため、それを悪用して攻撃者がさまざまな影響を与える可能性があります。クラスパスの内容によっては、リモートコードの実行が可能になる場合があります。(CVE-2019-12384)

  - FasterXML jackson-databind 2.x から 2.9.9 に、多態的型付けの問題が見つかりました。デフォルトの型付け (グローバルでまたは特定のプロパティに対して) が、外部に公開されている JSON エンドポイントに有効になっていて、サービスのクラスパスに JDOM 1.x または 2.x がある場合、攻撃者は細工された JSON メッセージを送信して、サーバー上で任意のローカルファイルを読み取る可能性があります。(CVE-2019-12814)

  - 2.9.9.2 より前の FasterXML jackson-databind の SubTypeValidator.java が、ehcache が使用される際に (net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup のため) デフォルトの型付けを不適切に処理し、リモートコードの実行を引き起こします。(CVE-2019-14379) 

  - 2.9.9.2 以前の FasterXML jackson-databind 2.x に、多態的型付けの問題が見つかりました。これは、外部に公開されている JSON エンドポイントに対してデフォルトの型付けが (グローバルにまたは特定のプロパティに対して) 有効になっており、サービスのクラスパスに logback jar がある場合に発生します。(CVE-2019-14439)

  - 2.9.10 以前の FasterXML jackson-databind に、多態的型付けの問題が見つかりました。これは com.zaxxer.hikari.HikariConfig に関連しています。(CVE-2019-14540)

  - 2.9.10 以前の FasterXML jackson-databind に、多態的型付けの問題が見つかりました。これは com.zaxxer.hikari.HikariDataSource に関連しています。これは、CVE-2019-14540とは異なる脆弱性です。
    (CVE-2019-16335)

  - FasterXML jackson-databind 2.0.0 から 2.9.10 に、多態的型付けの問題が見つかりました。外部に公開されている JSON エンドポイントに対して、デフォルトの型付けが (グローバルに、または特定のプロパティに対して) 有効化されており、サービスのクラスパスに commons-dbcp (1.4) の jar がある場合、攻撃者は、アクセスできる RMI サービスエンドポイントを見つけることができれば、サービスに悪意のあるペイロードを実行させることが可能です。この問題が存在するのは、org.apache.commons.dbcp.datasources.SharedPoolDataSource および org.apache.commons.dbcp.datasources.PerUserPoolDataSource の処理が不適切なためです。(CVE-2019-16942)

  - FasterXML jackson-databind 2.0.0 から 2.9.10 に、多態的型付けの問題が見つかりました。外部に公開されているJSONエンドポイントに対して、デフォルトの型付けが (グローバルに、または特定のプロパティに対して) 有効化されており、サービスのクラスパスにp6spy (3.8.6) のjarがある場合、攻撃者は、アクセスできるRMIサービスエンドポイントを見つけることができれば、サービスに悪意のあるペイロードを実行させることが可能です。この問題は、com.p6spy.engine.spy.P6DataSource の誤った処理に起因します。(CVE-2019-16943)

  - 2.9.10 以前の FasterXML jackson-databind に、多態的型付けの問題が見つかりました。これは、net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup に関連しています。(CVE-2019-17267)

  - FasterXML jackson-databind 2.0.0 から 2.9.10 に、多態的型付けの問題が見つかりました。外部に公開されている JSON エンドポイントに対して、デフォルトの型付けが (グローバルに、または特定のプロパティに対して) 有効化されており、サービスのクラスパスに apache-log4j-extra (バージョン 1.2.x) の jar がある場合、攻撃者は、アクセスできる JNDI サービスを追加し、サービスに悪意のあるペイロードを実行させることが可能です。(CVE-2019-17531)

  - 2.9.10.2 より前の FasterXML jackson-databind 2.x では、特定の net.sf.ehcache ブロッキングがありません。(CVE-2019-20330)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory (別名 aries.transaction.jms) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。(CVE-2020-10672)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、com.caucho.config.types.ResourceRef (別名 caucho-quercus) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。(CVE-2020-10673)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、org.aoju.bus.proxy.provider.remoting.RmiProvider (別名 bus-proxy) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。(CVE-2020-10968)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、javax.swing.JEditorPane に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。(CVE-2020-10969)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、org.apache.activemq.* (別名 activemq-jms、activemq-core、activemq-pool、activemq-pool-jms) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。(CVE-2020-11111)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、org.apache.commons.proxy.provider.remoting.RmiProvider (別名 apache/commons-proxy) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。
    (CVE-2020-11112)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、jorg.apache.openjpa.ee.WASRegistryManagedRuntime (別名 openjpa) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。(CVE-2020-11113)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、org.springframework.aop.config.MethodLocatingFactoryBean (別名 spring-aop) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。
    (CVE-2020-11619)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、org.apache.commons.jelly.impl.Embedded (別名 commons-jelly) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。(CVE-2020-11620)

  - 2.9.10.5 より前の FasterXML jackson-databind 2.x において、oadd.org.apache.xalan.lib.sql.JNDIConnectionPool (別名 apache/drill) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。
    (CVE-2020-14060)

  - 2.9.10.5 より前の FasterXML jackson-databind 2.x では、oracle.jms.AQjmsQueueConnectionFactory,、oracle.jms.AQjmsXATopicConnectionFactory、oracle.jms.AQjmsTopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory、および oracle.jms.AQjmsXAConnectionFactory (別名 weblogic/oracle-aqjms) に関連してシリアル化ガジェットとタイピングの間の相互作用が不適切に処理されます。(CVE-2020-14061)

  - 2.9.10.5 より前の FasterXML jackson-databind 2.x において、com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool (別名 xalan2) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。
    (CVE-2020-14062)

  - 2.9.10.5 より前の FasterXML jackson-databind 2.x において、org.jsecurity.realm.jndi.JndiRealmFactory (別名 org.jsecurity) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。(CVE-2020-14195)

  - FasterXML jackson-databind 2.0.0 から 2.9.10.2 には、org.apache.xbean.propertyeditor.JndiConverter で実証されているように、特定の xbean-reflect/JNDI ブロッキングがありません。(CVE-2020-8840)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig (別名シェーディング hikari-config) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。
    (CVE-2020-9546)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (別名 ibatis-sqlmap) に関連して、シリアライズガジェットと型指定の間の相互作が不適切に処理されています。
    (CVE-2020-9547)

  - 2.9.10.4 より前の FasterXML jackson-databind 2.x において、br.com.anteros.dbcp.AnterosDBCPConfig (別名 anteros-core) に関連して、シリアライズガジェットと型付けの間の相互作用が不適切に処理されています。(CVE-2020-9548)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Red Hat Enterprise Linux 8用のRed Hat JBoss Enterprise Application Platform 7.2の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platform 7.2.4のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.2.3に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.2.4リリースノート』を参照してください。セキュリティ修正プログラム：* jackson-databind：デフォルトの入力ミス処理により、リモートでコードが実行される可能性があります（CVE-2019-14379）* jackson-databind：logback-coreクラスを多態的な逆シリアル化からブロックできないため、リモートでコードが実行される可能性があります（CVE- 2019-12384）* jackson-databind：多態的なタイピングの問題により、攻撃者が細工されたJSONメッセージを介してサーバー上の任意のローカルファイルを読み取る可能性があります（CVE-2019-12814）* undertow：有効になっている場合に、io.undertow.request.securityのDEBUGログがログファイルに認証情報を漏えいします（CVE-2019-10212）* codehaus：jackson-databindの脆弱性での安全でない逆シリアル化の不完全な修正（CVE-2019-10202）* jackson-databind：ポリモーフィックタイピングの問題により、攻撃者はサーバー上の任意のローカルファイルを読み取る可能性があります（CVE -2019-12086）* undertow：末尾にスラッシュがないディレクトリのリクエストにおける情報漏えい（CVE-2019-10184）

Red Hat Enterprise Linux 7用のRed Hat JBoss Enterprise Application Platform 7.2の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platform 7.2.4のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.2.3に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.2.4リリースノート』を参照してください。セキュリティ修正プログラム：* jackson-databind：デフォルトの入力ミス処理により、リモートでコードが実行される可能性があります（CVE-2019-14379）* jackson-databind：logback-coreクラスを多態的な逆シリアル化からブロックできないため、リモートでコードが実行される可能性があります（CVE- 2019-12384）* jackson-databind：多態的なタイピングの問題により、攻撃者が細工されたJSONメッセージを介してサーバー上の任意のローカルファイルを読み取る可能性があります（CVE-2019-12814）* undertow：有効になっている場合に、io.undertow.request.securityのDEBUGログがログファイルに認証情報を漏えいします（CVE-2019-10212）* codehaus：jackson-databindの脆弱性での安全でない逆シリアル化の不完全な修正（CVE-2019-10202）* jackson-databind：ポリモーフィックタイピングの問題により、攻撃者はサーバー上の任意のローカルファイルを読み取る可能性があります（CVE -2019-12086）* undertow：末尾にスラッシュがないディレクトリのリクエストにおける情報漏えい（CVE-2019-10184）

根据其自我报告的版本号，远程 Web 服务器上运行的 Oracle Primavera Unifier 安装版本为 16.1.x 或低于 16.2.15.10 的 16.2.x，或低于 17.12.11.1 的 17.7.x 至 17.12.x，或低于 18.8.13.0 的 18.8.x。因而受到多个漏洞攻击：- 当 “ehcache” 用于 Primavera Unifier 的 jackson-databind 组件时，“默认输入”的处理方式存在不明缺陷。未经身份验证的远程攻击者可通过 HTTP 经网络造成代码执行。(CVE-2019-14379) - Primavera Unifier 的 jackson-databind 组件存在信息泄露漏洞。如果服务在类路径中拥有 mysql-connector-java jar，未经身份验证的远程攻击者可通过外部暴露的 JSON 端点利用此漏洞，并且攻击者可托管受害者访问的构造的 MySQL 服务器。攻击者可发送构造的 JSON 消息读取服务器上的任意本地文件。(CVE-2019-12086) - Primavera Unifier 的 jackson-databind 组件存在信息泄露漏洞。如果服务在类路径中拥有允许信息泄露的 logback jar，未经身份验证的远程攻击者可通过外部暴露的 JSON 端点利用此漏洞。(CVE-2019-14439) 请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2019 年 10 月关键修补程序更新 (CPU) 的安全修补程序。因此，受到 FasterXML jackson-databind 子组件的任意文件读取漏洞的影响。这是由于缺少 com.mysql.cj.jdbc.admin.MiniAdmin 验证所致。未经身份验证的远程攻击者可利用此漏洞，通过发送构建的 JSON 消息，读取任意文件和泄露敏感信息。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 1454 公告中提及的多个漏洞的影响。

  - rubygem-net-ldap：缺少 SSL 证书验证 (CVE-2017-17718)

  - mina-core：保留 close_notify SSL-TLS 中的开放套接字导致信息泄露。
    (CVE-2019-0231)

  - apache-commons-beanutils：未在默认情况下禁用 PropertyUtilsBean 中的类属性 (CVE-2019-10086)

  - jackson-databind：攻击者可利用多态输入问题在服务器上读取任意本地文件。
    (CVE-2019-12086)

  - rubygem-foreman_ansible：来自 Job Invocation 的用户输入条目可能包含敏感数据 (CVE-2020-10716)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新现在可用于 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 7.2。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。此 Red Hat JBoss Enterprise Application Platform 7.2.4 版本可替换 Red Hat JBoss Enterprise Application Platform 7.2.3，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.2.4 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。安全修复：* jackson-databind：未正确处理默认输入导致远程代码执行 (CVE-2019-14379) * jackson-databind：无法阻止 logback-core 类进行多态反序列化，可导致远程代码执行 (CVE-2019-12384) * jackson-databind：多态输入问题允许攻击者通过构建的 JSON 消息在服务器上读取任意本地文件 (CVE-2019-12814) * undertow：若启用，io.undertow.request.security 的调试日志，会将凭据泄露给日志文件 (CVE-2019-10212) * codehaus：jackson-databind 漏洞中不安全反序列化的不完全修复 (CVE-2019-10202) * jackson-databind：多态输入问题允许攻击者读取服务器上的任意本地文件 (CVE-2019-12086) * undertow：目录请求中存在信息泄露，缺少结尾斜线 (CVE-2019-10184)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
252659	Linux Distros のパッチ未適用の脆弱性: CVE-2019-12086	Nessus	Misc.	2025/8/20	2025/8/20	high
130005	Oracle WebCenter Portal 任意檔案讀取 (2019 年 10 月 CPU)	Nessus	Misc.	2019/10/17	2025/7/24	high
130070	Oracle Primavera Unifier 多個弱點 (2019 年 10 月 CPU)	Nessus	CGI abuses	2019/10/21	2024/4/17	critical
136038	RHEL 7：Satellite 6.7 版本。(重要) (RHSA-2020: 1454)	Nessus	Red Hat Local Security Checks	2020/4/28	2024/11/7	high
129516	RHEL 6：JBoss EAP (RHSA-2019:2935)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/6	critical
183541	Ubuntu 16.04 ESM：Jackson Databind 弱點 (USN-4813-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/28	critical
129517	RHEL 7：JBoss EAP (RHSA-2019:2936)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/7	critical
129518	RHEL 8：JBoss EAP (RHSA-2019:2937)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/6	critical
183541	Ubuntu 16.04 ESM: Jackson Databind の脆弱性 (USN-4813-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/28	critical
129518	RHEL 8：JBoss EAP（RHSA-2019:2937）	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/6	critical
129517	RHEL 7：JBoss EAP（RHSA-2019:2936）	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/7	critical
130070	Oracle Primavera Unifier 多个漏洞（2019 年 10 月 CPU）	Nessus	CGI abuses	2019/10/21	2024/4/17	critical
130005	Oracle WebCenter Portal 任意文件读取（2019 年 10 月 CPU）	Nessus	Misc.	2019/10/17	2025/7/24	high
136038	RHEL 7：Satellite 6.7 版本。（重要）(RHSA-2020: 1454)	Nessus	Red Hat Local Security Checks	2020/4/28	2024/11/7	high
129516	RHEL 6 : JBoss EAP (RHSA-2019:2935)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/6	critical

检测

插件搜索

high

high

critical

high

critical

critical

critical

critical

critical

critical

critical

critical

high

high

critical