远程 Ubuntu 16.04 ESM 主机上安装的一个程序包受到 USN-4813-1 公告中提及的多个漏洞影响。

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.5 中发现一个问题。使用 Jackson 默认类型以及 iBatis 中的小工具类可以泄露内容。已在 2.7.9.4、2.8.11.2 和 2.9.6 版中修复。(CVE-2018-11307)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 和 2.9.6 之前的版本中发现一个问题。如果启用了默认类型（全局或特定属性均可），且服务的类路径中包含 Jodd-db jar（用于 Jodd 框架的数据库访问），并且攻击者可以提供要访问的 LDAP 服务，就可能使服务执行恶意有效负载。(CVE-2018-12022)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 和 2.9.6 之前的版本中发现一个问题。如果启用了默认类型（全局或特定属性均可），且服务的类路径中包含 Oracle JDBC jar，并且攻击者可以提供要访问的 LDAP 服务，就可能使服务执行恶意有效负载。(CVE-2018-12023)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 slf4j-ext 类，执行任意代码。(CVE-2018-14718)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 blaze-ds-opt 和 blaze-ds-core 类，执行任意代码。
    (CVE-2018-14719)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的未知 JDK 类，执行外部 XML 实体 (XXE) 攻击。
    (CVE-2018-14720)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 axis2-jaxws 类，执行服务器端请求伪造 (SSRF) 攻击。(CVE-2018-14721)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 axis2-transport-jms 类，造成不明影响。(CVE-2018-19360)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 openjpa 类，造成不明影响。(CVE-2018-19361)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 jboss-common-core 类，造成不明影响。(CVE-2018-19362)

  - 在 2.x 之前的 2.9.9 版本 FasterXML jackson-databind 中发现了一个多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可）、该服务在类路径中拥有 mysql-connector-java jar（8.0.14 或更早版本），且攻击者能够托管受害者可读的特制 MySQL 服务器时，攻击者可能会发送特制的 JSON 消息造成读取服务器上的任意本地文件。这是由于缺少 com.mysql.cj.jdbc.admin.MiniAdmin 验证所致。(CVE-2019-12086)

  - FasterXML jackson-databind 2.9.9.1 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 logback-core 类，造成多种影响。根据类路径内容，可能存在远程代码执行。(CVE-2019-12384)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可）且该服务在类路径中拥有 JDOM 1.x 或 2.x 时，攻击者可能会发送特别构建的 JSON 消息造成读取服务器上的任意本地文件。(CVE-2019-12814)

  - 2.9.9.2 之前 FasterXML jackson-databind 中的 SubTypeValidator.java 在使用 ehcache 时错误处理了默认类型（因为 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup），导致远程代码执行。(CVE-2019-14379)

  - 在 2.x 之前的 2.9.9.2 版本 FasterXML jackson-databind 中发现了一个多态分型问题。当为外部公开的 JSON 端点启用默认类型（全局或针对特定属性）并且服务在类路径中具有 logback jar 时，会发生这种情况。(CVE-2019-14439)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与  com.zaxxer.hikari.HikariConfig 有关。(CVE-2019-14540)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与 com.zaxxer.hikari.HikariDataSource 有关。此漏洞与 CVE-2019-14540 不同。
    (CVE-2019-16335)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 commons-dbcp (1.4) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是未正确处理 org.apache.commons.dbcp.datasources.SharedPoolDataSource 和 org.apache.commons.dbcp.datasources.PerUserPoolDataSource。(CVE-2019-16942)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 p6spy (3.8.6) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是 com.p6spy.engine.spy.P6DataSource 的错误处理。(CVE-2019-16943)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。它与 net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup 相关。 (CVE-2019-17267)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 apache-log4j-extra（版本 1.2.x）jar 时，如果攻击者可提供要访问的 JNDI 服务，就可能使服务执行恶意有效负载。(CVE-2019-17531)

  - 2.9.10.2 之前的 2.x 版本 FasterXML jackson-databind 缺乏某些 net.sf.ehcache 阻断。(CVE-2019-20330)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory（又称 aries.transaction.jms）相关。(CVE-2020-10672)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 com.caucho.config.types.ResourceRef（又称 caucho-quercus）相关。(CVE-2020-10673)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.aoju.bus.proxy.provider.remoting.RmiProvider（又称 bus-proxy）有关。(CVE-2020-10968)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 javax.swing.JEditorPane 有关。(CVE-2020-10969)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.activemq 有关。*（又称 activemq-jms、activemq-core、activemq-pool 和 activemq-pool-jms）。(CVE-2020-11111)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.proxy.provider.remoting.RmiProvider（又称 apache/commons-proxy）有关。
    (CVE-2020-11112)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.openjpa.ee.WASRegistryManagedRuntime（又称 openjpa）有关。(CVE-2020-11113)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.springframework.aop.config.MethodLocatingFactoryBean（又称 spring-aop）有关。
    (CVE-2020-11619)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.jelly.impl.Embedded（又称 commons-jelly）有关。(CVE-2020-11620)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oadd.org.apache.xalan.lib.sql.JNDIConnectionPool（又称 apache/drill）有关。
    (CVE-2020-14060)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oracle.jms.AQjmsQueueConnectionFactory、oracle.jms.AQjmsXATopicConnectionFactory、oracle.jms.AQjmsTopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory 和 oracle.jms.AQjmsXAConnectionFactory（又称 weblogic/oracle-aqjms）有关。(CVE-2020-14061)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool（又称 xalan2）有关。
    (CVE-2020-14062)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.jsecurity.realm.jndi.JndiRealmFactory（又称 org.jsecurity）有关。(CVE-2020-14195)

  - FasterXML jackson-databind 2.0.0 到 2.9.10.2 缺乏某些 xbean-reflect/JNDI 阻断，如 org.apache.xbean.propertyeditor.JndiConverter 所示。(CVE-2020-8840)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig（又称阴影 hikari-config）相关。
    (CVE-2020-9546)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x  未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig（又称 ibatis-sqlmap）相关。
    (CVE-2020-9547)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 br.com.anteros.dbcp.AnterosDBCPConfig（又称 anteros-core）相关。(CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

适用于 Java 快速而强大的 JSON 库 jackson-databind 中发现多个反序列化缺陷，可能允许未经身份验证的用户执行代码。通过扩大黑名单并封锁更多来自多型反序列化的类别，即可解决此问题。对于 Debian 8“Jessie”，这些问题已在 2.4:2-2+deb8u5 版本中修复。建议您升级 jackson-databind 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

根据其自我报告的版本号，远程 Web 服务器上运行的 Oracle Primavera Unifier 安装版本为低于 16.2.15.6 的 16.x、低于 17.12.9.2 的 17.x 或低于 18.8.4.1 的 18.x。因而受到多个漏洞的影响：- 在 Blueimp jQuery-File-Upload 中存在一个任意文件上传漏洞。未经验证的远程攻击者可利用此漏洞，在远程主机上以用户的权限上传任意文件。- 在 jackson-databind 中存在一个远程命令执行漏洞，这是因为无法封锁来自多态反序列化的多种类别所致。未经身份验证的远程攻击者可利用此问题执行任意代码。(CVE-2018-14718, CVE-2018-14719 CVE-2018-14720, CVE-2018-14721) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。

用于解析 JSON 和其他数据格式的 Java 库 jackson-databind 中发现多个安全问题，可能会造成信息泄露或执行任意代码。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2019:0782 公告中提及的多个漏洞影响。

   jackson-databind：使用 MyBatis 序列化小工具的默认输入可能会泄露信息 (CVE-2018-11307)

  - jackson-databind：Jodd-db 库的类型的不当多型态还原串行化 (CVE-2018-12022)

  - jackson-databind：Oracle JDBC 驱动程序类型的不当多态还原序列化 (CVE-2018-12023)

  - jackson-databind：slf4j-ext 类中的任意代码执行 (CVE-2018-14718)

  - jackson-databind：blaze-ds-opt 和 blaze-ds-core 类中的任意代码执行 (CVE-2018-14719)

  - jackson-databind：某些 JDK 类中的信息外泄/XXE (CVE-2018-14720)

  - jackson-databind：axis2-jaxws 类中的服务器端请求伪造 (SSRF) (CVE-2018-14721)

  - jackson-databind：axis2-transport-jms 类中的不正确多态反序列化 (CVE-2018-19360)

  - jackson-databind：openjpa 类中的不正确多态反序列化 (CVE-2018-19361)

  - jackson-databind：jboss-common-core 类中的不正确多态反序列化 (CVE-2018-19362)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Database Server 缺少 2019 年 10 月的关键修补程序更新 (CPU)。因此，该服务器受到多个漏洞的影响：

  - Oracle Database Server 的 Java VM 组件中存在一个不明漏洞，允许未经身份验证的远程攻击者操纵 Java VM 可访问数据。(CVE-2019-2909)

  - Oracle Database Server 的 Core RDBMS (jackson-databind) 组件中存在一个不明漏洞，允许经过身份验证的远程攻击者造成 Core RDBMS 拒绝服务。(CVE-2019-2956)

  - Oracle Database Server 的 Core RDBMS 组件中存在一个不明漏洞，允许经过身份验证的远程攻击者读取 Core RDBMS 可访问数据的子集。(CVE-2019-2913)

该服务器还受到其他漏洞的影响；参见供应商公告了解更多信息。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
183541	Ubuntu 16.04 ESM：Jackson Databind 漏洞 (USN-4813-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/21	critical
122603	Debian DLA-1703-1：jackson-databind 安全更新	Nessus	Debian Local Security Checks	2019/3/5	2021/1/11	critical
121251	Oracle Primavera Unifier 多个漏洞（2019 年 1 月 CPU）	Nessus	CGI abuses	2019/1/18	2022/5/24	critical
125416	Debian DSA-4452-1：jackson-databind - 安全更新	Nessus	Debian Local Security Checks	2019/5/28	2024/5/21	critical
194170	RHEL 7：rh-maven35-jackson-databind (RHSA-2019:0782)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/4/28	critical
130058	Oracle Database Server 多个漏洞（2019 年 10 月 CPU）	Nessus	Databases	2019/10/18	2022/10/21	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical