已发现用于解析 JSON 和其他数据格式的 Java 库 jackson-databind 在尝试反序列化之前未正确验证用户输入。这使得攻击者能够通过提供恶意构建的输入造成代码执行，或读取服务器上的任意文件。

jackson-databind（与 EHCache 和 logback/jndi 有关）中发现反序列化缺陷，可能允许未经身份验证的用户执行远程代码。通过扩大黑名单并封锁更多来自多型反序列化的类别，即可解决此问题。对于 Debian 8“Jessie”，这些问题已在 2.4:2-2+deb8u8 版本中修复。建议您升级 jackson-databind 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

根据其自我报告的版本号，远程 Web 服务器上运行的 Oracle Primavera Unifier 安装版本为 16.1.x 或低于 16.2.15.10 的 16.2.x，或低于 17.12.11.1 的 17.7.x 至 17.12.x，或低于 18.8.13.0 的 18.8.x。因而受到多个漏洞攻击：- 当 “ehcache” 用于 Primavera Unifier 的 jackson-databind 组件时，“默认输入”的处理方式存在不明缺陷。未经身份验证的远程攻击者可通过 HTTP 经网络造成代码执行。(CVE-2019-14379) - Primavera Unifier 的 jackson-databind 组件存在信息泄露漏洞。如果服务在类路径中拥有 mysql-connector-java jar，未经身份验证的远程攻击者可通过外部暴露的 JSON 端点利用此漏洞，并且攻击者可托管受害者访问的构造的 MySQL 服务器。攻击者可发送构造的 JSON 消息读取服务器上的任意本地文件。(CVE-2019-12086) - Primavera Unifier 的 jackson-databind 组件存在信息泄露漏洞。如果服务在类路径中拥有允许信息泄露的 logback jar，未经身份验证的远程攻击者可通过外部暴露的 JSON 端点利用此漏洞。(CVE-2019-14439) 请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 2.x 之前的 2.9.9.2 版本 FasterXML jackson-databind 中发现了一个多态分型问题。当为外部公开的 JSON 端点启用默认类型（全局或针对特定属性）并且服务在类路径中具有 logback jar 时，会发生这种情况。(CVE-2019-14439)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 16.04 ESM 主机上安装的一个程序包受到 USN-4813-1 公告中提及的多个漏洞影响。

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.5 中发现一个问题。使用 Jackson 默认类型以及 iBatis 中的小工具类可以泄露内容。已在 2.7.9.4、2.8.11.2 和 2.9.6 版中修复。(CVE-2018-11307)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 和 2.9.6 之前的版本中发现一个问题。如果启用了默认类型（全局或特定属性均可），且服务的类路径中包含 Jodd-db jar（用于 Jodd 框架的数据库访问），并且攻击者可以提供要访问的 LDAP 服务，就可能使服务执行恶意有效负载。(CVE-2018-12022)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 和 2.9.6 之前的版本中发现一个问题。如果启用了默认类型（全局或特定属性均可），且服务的类路径中包含 Oracle JDBC jar，并且攻击者可以提供要访问的 LDAP 服务，就可能使服务执行恶意有效负载。(CVE-2018-12023)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 slf4j-ext 类，执行任意代码。(CVE-2018-14718)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 blaze-ds-opt 和 blaze-ds-core 类，执行任意代码。
    (CVE-2018-14719)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的未知 JDK 类，执行外部 XML 实体 (XXE) 攻击。
    (CVE-2018-14720)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 axis2-jaxws 类，执行服务器端请求伪造 (SSRF) 攻击。(CVE-2018-14721)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 axis2-transport-jms 类，造成不明影响。(CVE-2018-19360)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 openjpa 类，造成不明影响。(CVE-2018-19361)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 jboss-common-core 类，造成不明影响。(CVE-2018-19362)

  - 在 2.x 之前的 2.9.9 版本 FasterXML jackson-databind 中发现了一个多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可）、该服务在类路径中拥有 mysql-connector-java jar（8.0.14 或更早版本），且攻击者能够托管受害者可读的特制 MySQL 服务器时，攻击者可能会发送特制的 JSON 消息造成读取服务器上的任意本地文件。这是由于缺少 com.mysql.cj.jdbc.admin.MiniAdmin 验证所致。(CVE-2019-12086)

  - FasterXML jackson-databind 2.9.9.1 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 logback-core 类，造成多种影响。根据类路径内容，可能存在远程代码执行。(CVE-2019-12384)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可）且该服务在类路径中拥有 JDOM 1.x 或 2.x 时，攻击者可能会发送特别构建的 JSON 消息造成读取服务器上的任意本地文件。(CVE-2019-12814)

  - 2.9.9.2 之前 FasterXML jackson-databind 中的 SubTypeValidator.java 在使用 ehcache 时错误处理了默认类型（因为 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup），导致远程代码执行。(CVE-2019-14379)

  - 在 2.x 之前的 2.9.9.2 版本 FasterXML jackson-databind 中发现了一个多态分型问题。当为外部公开的 JSON 端点启用默认类型（全局或针对特定属性）并且服务在类路径中具有 logback jar 时，会发生这种情况。(CVE-2019-14439)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与  com.zaxxer.hikari.HikariConfig 有关。(CVE-2019-14540)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与 com.zaxxer.hikari.HikariDataSource 有关。此漏洞与 CVE-2019-14540 不同。
    (CVE-2019-16335)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 commons-dbcp (1.4) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是未正确处理 org.apache.commons.dbcp.datasources.SharedPoolDataSource 和 org.apache.commons.dbcp.datasources.PerUserPoolDataSource。(CVE-2019-16942)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 p6spy (3.8.6) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是 com.p6spy.engine.spy.P6DataSource 的错误处理。(CVE-2019-16943)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。它与 net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup 相关。 (CVE-2019-17267)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 apache-log4j-extra（版本 1.2.x）jar 时，如果攻击者可提供要访问的 JNDI 服务，就可能使服务执行恶意有效负载。(CVE-2019-17531)

  - 2.9.10.2 之前的 2.x 版本 FasterXML jackson-databind 缺乏某些 net.sf.ehcache 阻断。(CVE-2019-20330)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory（又称 aries.transaction.jms）相关。(CVE-2020-10672)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 com.caucho.config.types.ResourceRef（又称 caucho-quercus）相关。(CVE-2020-10673)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.aoju.bus.proxy.provider.remoting.RmiProvider（又称 bus-proxy）有关。(CVE-2020-10968)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 javax.swing.JEditorPane 有关。(CVE-2020-10969)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.activemq 有关。*（又称 activemq-jms、activemq-core、activemq-pool 和 activemq-pool-jms）。(CVE-2020-11111)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.proxy.provider.remoting.RmiProvider（又称 apache/commons-proxy）有关。
    (CVE-2020-11112)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.openjpa.ee.WASRegistryManagedRuntime（又称 openjpa）有关。(CVE-2020-11113)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.springframework.aop.config.MethodLocatingFactoryBean（又称 spring-aop）有关。
    (CVE-2020-11619)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.jelly.impl.Embedded（又称 commons-jelly）有关。(CVE-2020-11620)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oadd.org.apache.xalan.lib.sql.JNDIConnectionPool（又称 apache/drill）有关。
    (CVE-2020-14060)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oracle.jms.AQjmsQueueConnectionFactory、oracle.jms.AQjmsXATopicConnectionFactory、oracle.jms.AQjmsTopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory 和 oracle.jms.AQjmsXAConnectionFactory（又称 weblogic/oracle-aqjms）有关。(CVE-2020-14061)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool（又称 xalan2）有关。
    (CVE-2020-14062)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.jsecurity.realm.jndi.JndiRealmFactory（又称 org.jsecurity）有关。(CVE-2020-14195)

  - FasterXML jackson-databind 2.0.0 到 2.9.10.2 缺乏某些 xbean-reflect/JNDI 阻断，如 org.apache.xbean.propertyeditor.JndiConverter 所示。(CVE-2020-8840)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig（又称阴影 hikari-config）相关。
    (CVE-2020-9546)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x  未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig（又称 ibatis-sqlmap）相关。
    (CVE-2020-9547)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 br.com.anteros.dbcp.AnterosDBCPConfig（又称 anteros-core）相关。(CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
129597	Debian DSA-4542-1：jackson-databind - 安全更新	Nessus	Debian Local Security Checks	2019/10/7	2024/4/19	critical
127821	Debian DLA-1879-1：jackson-databind 安全更新	Nessus	Debian Local Security Checks	2019/8/13	2024/5/6	critical
130070	Oracle Primavera Unifier 多个漏洞（2019 年 10 月 CPU）	Nessus	CGI abuses	2019/10/21	2024/4/17	critical
252606	Linux Distros 未修补的漏洞：CVE-2019-14439	Nessus	Misc.	2025/8/20	2025/8/20	high
183541	Ubuntu 16.04 ESM：Jackson Databind 漏洞 (USN-4813-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/28	critical

检测

插件搜索

critical

critical

critical

high

critical