Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 apache-log4j-extra（版本 1.2.x）jar 时，如果攻击者可提供要访问的 JNDI 服务，就可能使服务执行恶意有效负载。(CVE-2019-17531)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2020 年 7 月关键修补程序更新 (CPU) 的安全修补程序。因此，该应用程序受到多个漏洞的影响，其中包括：

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 apache-log4j-extra（版本 1.2.x）jar 时，如果攻击者可提供要访问的 JNDI 服务，就可能使服务执行恶意有效负载。这是 Security Framework 组件的一部分，且是一种可轻松利用的漏洞，允许具有网络访问权限的未经身份验证的攻击者破坏 Oracle WebCenter Portal。(CVE-2019-17531)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Composer）。
    支持的版本中受影响的是 12.2.1.3.0 和 12.2.1.4.0。这是一种可轻松利用的漏洞，允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改对关键数据或所有 Oracle WebCenter Portal 可访问数据的访问权限，以及对 Oracle WebCenter Portal 可访问数据子集进行未经授权的读取访问，并且可未经授权造成 Oracle WebCenter Portal 部分拒绝服务（部分 DOS）。(CVE-2020-14611)

  - 服务器端请求伪造 (SSRF) 漏洞影响 2006 年最后发布的 Apache Axis  1.4 发行版本，该发行版在 Oracle WebCenter Portal 的 WebCenter Spaced Application 组件中使用。
    这一难以利用的漏洞允许未经身份验证的攻击者访问硬件（Oracle WebCenter Portal 在该硬件上执行）上附加的物理通信段，从而破坏 Oracle WebCenter Portal。(CVE-2019-0227)

请注意，Nessus 并未试图利用这些问题，而只依赖于应用程序自我报告的版本号。

在 jackson-databind 中发现更多反序列化缺陷，未经身份验证的用户可利用这些缺陷执行远程代码。
通过扩大黑名单并封锁更多来自多型反序列化的类别，即可解决此问题。

对于 Debian 8“Jessie”，这些问题已在版本 2.4.2-2+deb8u10 中修复。

建议您升级 jackson-databind 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2020: 0159 公告中提及的多个漏洞的影响。

  - hibernate-validator：safeHTML 验证器允许 XSS (CVE-2019-10219)

  - jackson-databind：com.zaxxer.hikari.HikariConfig 中的序列化小工具 (CVE-2019-14540)

  - JBoss EAP：在 CLI “重新加载”命令中显示 Vault 系统属性的安全属性值 (CVE-2019-14885)

  - undertow：侦听 HTTPS 的 Undertow HTTP 服务器中可能的拒绝服务 (DOS) (CVE-2019-14888)

  - jackson-databind：commons-configuration 程序包类中的序列化小工具 (CVE-2019-14892)

  - jackson-databind：xalan 程序包类中的序列化小工具 (CVE-2019-14893)

  - jackson-databind：com.zaxxer.hikari.HikariDataSource 中的序列化小工具 (CVE-2019-16335)

  - netty：通过错误处理 HTTP 标头冒号前的空格来走私 HTTP 请求 (CVE-2019-16869)

  - jackson-databind：org.apache.commons.dbcp.datasources 中的序列化小工具。* (CVE-2019-16942)

  - jackson-databind：com.p6spy.engine.spy.P6DataSource 中的序列化小工具 (CVE-2019-16943)

  - jackson-databind：ehcache 程序包类中的序列化小工具 (CVE-2019-17267)

  - jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 0161 公告提及的多个漏洞的影响。

  - hibernate-validator：safeHTML 验证器允许 XSS (CVE-2019-10219)

  - jackson-databind：com.zaxxer.hikari.HikariConfig 中的序列化小工具 (CVE-2019-14540)

  - JBoss EAP：在 CLI “重新加载”命令中显示 Vault 系统属性的安全属性值 (CVE-2019-14885)

  - undertow：侦听 HTTPS 的 Undertow HTTP 服务器中可能的拒绝服务 (DOS) (CVE-2019-14888)

  - jackson-databind：commons-configuration 程序包类中的序列化小工具 (CVE-2019-14892)

  - jackson-databind：xalan 程序包类中的序列化小工具 (CVE-2019-14893)

  - jackson-databind：com.zaxxer.hikari.HikariDataSource 中的序列化小工具 (CVE-2019-16335)

  - netty：通过错误处理 HTTP 标头冒号前的空格来走私 HTTP 请求 (CVE-2019-16869)

  - jackson-databind：org.apache.commons.dbcp.datasources 中的序列化小工具。* (CVE-2019-16942)

  - jackson-databind：com.p6spy.engine.spy.P6DataSource 中的序列化小工具 (CVE-2019-16943)

  - jackson-databind：ehcache 程序包类中的序列化小工具 (CVE-2019-17267)

  - jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2020: 1644 公告中提及的多个漏洞的影响。

  - jackson-databind：com.zaxxer.hikari.HikariConfig 中的序列化小工具 (CVE-2019-14540)

  - jackson-databind：com.zaxxer.hikari.HikariDataSource 中的序列化小工具 (CVE-2019-16335)

  - jackson-databind：org.apache.commons.dbcp.datasources 中的序列化小工具。* (CVE-2019-16942)

  - jackson-databind：com.p6spy.engine.spy.P6DataSource 中的序列化小工具 (CVE-2019-16943)

  - jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

  - jackson-databind：缺少某些 net.sf.ehcache 阻断 (CVE-2019-20330)

  - jackson-databind：未正确处理序列化小工具与类型之间的交互，这可能导致远程命令执行（CVE-2020-10672、CVE-2020-10673）

  - jackson-databind：缺少特定 xbean-reflect/JNDI 阻断 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的测试产品版本低于测试版本。因此，该产品受到 2020 年 4 月 CPU 公告中提及的以下漏洞的影响：

  - Apache Commons Beanutils 1.9.2 中，添加了一个特殊的 BeanIntrospector 类，该类可抑制攻击者通过所有 Java 对象上可用的类属性访问类加载器的能力。但是，默认情况下不使用此 PropertyUtilsBean 特性。
    (CVE-2019-10086)

  - 遇到特别构建的输入时，Apache Commons Compress 1.15 至 1.18 内部使用的文件名编码算法可进入无限循环。如果攻击者可选择 Compress 创建的存档中的文件名，则可导致拒绝服务攻击。(CVE-2019-12402)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 p6spy (3.8.6) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是 com.p6spy.engine.spy.P6DataSource 的错误处理。(CVE-2019-16943)

  - 解析 JWT 时，v7.9 之前的 Connect2id Nimbus JOSE+JWT 可抛出各种未捕获的异常，进而导致应用程序崩溃（可能发生信息泄露），或可能造成身份验证绕过。(CVE-2019-17195)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-1644 公告中提及的多个漏洞的影响。

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与 com.zaxxer.hikari.HikariDataSource 有关。此漏洞与 CVE-2019-14540 不同。
    (CVE-2019-16335)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 apache-log4j-extra（版本 1.2.x）jar 时，如果攻击者可提供要访问的 JNDI 服务，就可能使服务执行恶意有效负载。(CVE-2019-17531)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与  com.zaxxer.hikari.HikariConfig 有关。(CVE-2019-14540)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 commons-dbcp (1.4) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是未正确处理 org.apache.commons.dbcp.datasources.SharedPoolDataSource 和 org.apache.commons.dbcp.datasources.PerUserPoolDataSource。(CVE-2019-16942)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 p6spy (3.8.6) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是 com.p6spy.engine.spy.P6DataSource 的错误处理。(CVE-2019-16943)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 0160 公告提及的漏洞的影响。

  - hibernate-validator：safeHTML 验证器允许 XSS (CVE-2019-10219)

  - jackson-databind：com.zaxxer.hikari.HikariConfig 中的序列化小工具 (CVE-2019-14540)

  - JBoss EAP：在 CLI “重新加载”命令中显示 Vault 系统属性的安全属性值 (CVE-2019-14885)

  - undertow：侦听 HTTPS 的 Undertow HTTP 服务器中可能的拒绝服务 (DOS) (CVE-2019-14888)

  - jackson-databind：commons-configuration 程序包类中的序列化小工具 (CVE-2019-14892)

  - jackson-databind：xalan 程序包类中的序列化小工具 (CVE-2019-14893)

  - jackson-databind：com.zaxxer.hikari.HikariDataSource 中的序列化小工具 (CVE-2019-16335)

  - netty：通过错误处理 HTTP 标头冒号前的空格来走私 HTTP 请求 (CVE-2019-16869)

  - jackson-databind：org.apache.commons.dbcp.datasources 中的序列化小工具。* (CVE-2019-16942)

  - jackson-databind：com.p6spy.engine.spy.P6DataSource 中的序列化小工具 (CVE-2019-16943)

  - jackson-databind：ehcache 程序包类中的序列化小工具 (CVE-2019-17267)

  - jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Splunk 版本低于测试版本。因此，它受到 SVD-2024-0303 公告中提及的一个漏洞影响。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2019:4192 公告中提及的一个漏洞影响。

  - jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition (OAS) 6.4.0.0.0 和 7.0.0.0 版本受到 2023 年 7 月 CPU 公告中提及的一个漏洞影响。 

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Analytics Server (Apache Hive)）。支持的版本中受影响的是 6.4.0.0.0、7.0.0.0.0 和  12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle Business Intelligence Enterprise Edition 可访问数据的访问权限，以及未经授权即可访问关键数据或完整访问所有 Oracle Business Intelligence Enterprise Edition 可访问数据。
    (CVE-2018-1282)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Visual Analyzer (jackson-databind)）。支持的版本中受影响的是 6.4.0.0.0 和 7.0.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若攻击成功，攻击者可在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 挂起或频繁出现崩溃（完整 DOS）。(CVE-2022-33980)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Visual Analyzer (CKEditor)）。支持的版本中受影响的是 6.4.0.0.0 和 7.0.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Business Intelligence Enterprise Edition 中，但攻击可能对其他产品造成重大影响（范围更改）。若成功利用此漏洞，攻击者未经授权即可对 Oracle Business Intelligence Enterprise Edition 可访问的部分数据执行更新、插入或删除操作，并且未经授权即可读取 Oracle Business Intelligence Enterprise Edition 可访问数据中的部分数据。(CVE-2023-28439)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 ESM 主机上安装的一个程序包受到 USN-4813-1 公告中提及的多个漏洞影响。

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.5 中发现一个问题。使用 Jackson 默认类型以及 iBatis 中的小工具类可以泄露内容。已在 2.7.9.4、2.8.11.2 和 2.9.6 版中修复。(CVE-2018-11307)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 和 2.9.6 之前的版本中发现一个问题。如果启用了默认类型（全局或特定属性均可），且服务的类路径中包含 Jodd-db jar（用于 Jodd 框架的数据库访问），并且攻击者可以提供要访问的 LDAP 服务，就可能使服务执行恶意有效负载。(CVE-2018-12022)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 和 2.9.6 之前的版本中发现一个问题。如果启用了默认类型（全局或特定属性均可），且服务的类路径中包含 Oracle JDBC jar，并且攻击者可以提供要访问的 LDAP 服务，就可能使服务执行恶意有效负载。(CVE-2018-12023)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 slf4j-ext 类，执行任意代码。(CVE-2018-14718)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 blaze-ds-opt 和 blaze-ds-core 类，执行任意代码。
    (CVE-2018-14719)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的未知 JDK 类，执行外部 XML 实体 (XXE) 攻击。
    (CVE-2018-14720)

  - FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 axis2-jaxws 类，执行服务器端请求伪造 (SSRF) 攻击。(CVE-2018-14721)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 axis2-transport-jms 类，造成不明影响。(CVE-2018-19360)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 openjpa 类，造成不明影响。(CVE-2018-19361)

  - FasterXML jackson-databind 2.9.8 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 jboss-common-core 类，造成不明影响。(CVE-2018-19362)

  - 在 2.x 之前的 2.9.9 版本 FasterXML jackson-databind 中发现了一个多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可）、该服务在类路径中拥有 mysql-connector-java jar（8.0.14 或更早版本），且攻击者能够托管受害者可读的特制 MySQL 服务器时，攻击者可能会发送特制的 JSON 消息造成读取服务器上的任意本地文件。这是由于缺少 com.mysql.cj.jdbc.admin.MiniAdmin 验证所致。(CVE-2019-12086)

  - FasterXML jackson-databind 2.9.9.1 之前的版本 2.x 可允许攻击者利用无法封锁来自多型反序列化的 logback-core 类，造成多种影响。根据类路径内容，可能存在远程代码执行。(CVE-2019-12384)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可）且该服务在类路径中拥有 JDOM 1.x 或 2.x 时，攻击者可能会发送特别构建的 JSON 消息造成读取服务器上的任意本地文件。(CVE-2019-12814)

  - 2.9.9.2 之前 FasterXML jackson-databind 中的 SubTypeValidator.java 在使用 ehcache 时错误处理了默认类型（因为 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup），导致远程代码执行。(CVE-2019-14379)

  - 在 2.x 之前的 2.9.9.2 版本 FasterXML jackson-databind 中发现了一个多态分型问题。当为外部公开的 JSON 端点启用默认类型（全局或针对特定属性）并且服务在类路径中具有 logback jar 时，会发生这种情况。(CVE-2019-14439)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与  com.zaxxer.hikari.HikariConfig 有关。(CVE-2019-14540)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。此问题与 com.zaxxer.hikari.HikariDataSource 有关。此漏洞与 CVE-2019-14540 不同。
    (CVE-2019-16335)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 commons-dbcp (1.4) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是未正确处理 org.apache.commons.dbcp.datasources.SharedPoolDataSource 和 org.apache.commons.dbcp.datasources.PerUserPoolDataSource。(CVE-2019-16942)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 p6spy (3.8.6) jar 时，如果攻击者可找到要访问的 RMI 服务端点，就可能使服务执行恶意有效负载。存在此问题的原因是 com.p6spy.engine.spy.P6DataSource 的错误处理。(CVE-2019-16943)

  - 在 2.9.10 之前的 FasterXML jackson-databind 中发现了一个多态分型问题。它与 net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup 相关。 (CVE-2019-17267)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中发现多态分型问题。当对外公开的 JSON 端点启用了默认分型（全局或特定属性均可），且该服务在类路径中拥有 apache-log4j-extra（版本 1.2.x）jar 时，如果攻击者可提供要访问的 JNDI 服务，就可能使服务执行恶意有效负载。(CVE-2019-17531)

  - 2.9.10.2 之前的 2.x 版本 FasterXML jackson-databind 缺乏某些 net.sf.ehcache 阻断。(CVE-2019-20330)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory（又称 aries.transaction.jms）相关。(CVE-2020-10672)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 com.caucho.config.types.ResourceRef（又称 caucho-quercus）相关。(CVE-2020-10673)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.aoju.bus.proxy.provider.remoting.RmiProvider（又称 bus-proxy）有关。(CVE-2020-10968)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 javax.swing.JEditorPane 有关。(CVE-2020-10969)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.activemq 有关。*（又称 activemq-jms、activemq-core、activemq-pool 和 activemq-pool-jms）。(CVE-2020-11111)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.proxy.provider.remoting.RmiProvider（又称 apache/commons-proxy）有关。
    (CVE-2020-11112)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.openjpa.ee.WASRegistryManagedRuntime（又称 openjpa）有关。(CVE-2020-11113)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.springframework.aop.config.MethodLocatingFactoryBean（又称 spring-aop）有关。
    (CVE-2020-11619)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.jelly.impl.Embedded（又称 commons-jelly）有关。(CVE-2020-11620)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oadd.org.apache.xalan.lib.sql.JNDIConnectionPool（又称 apache/drill）有关。
    (CVE-2020-14060)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oracle.jms.AQjmsQueueConnectionFactory、oracle.jms.AQjmsXATopicConnectionFactory、oracle.jms.AQjmsTopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory 和 oracle.jms.AQjmsXAConnectionFactory（又称 weblogic/oracle-aqjms）有关。(CVE-2020-14061)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool（又称 xalan2）有关。
    (CVE-2020-14062)

  - 2.9.10.5 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.jsecurity.realm.jndi.JndiRealmFactory（又称 org.jsecurity）有关。(CVE-2020-14195)

  - FasterXML jackson-databind 2.0.0 到 2.9.10.2 缺乏某些 xbean-reflect/JNDI 阻断，如 org.apache.xbean.propertyeditor.JndiConverter 所示。(CVE-2020-8840)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig（又称阴影 hikari-config）相关。
    (CVE-2020-9546)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x  未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig（又称 ibatis-sqlmap）相关。
    (CVE-2020-9547)

  - 2.9.10.4 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 br.com.anteros.dbcp.AnterosDBCPConfig（又称 anteros-core）相关。(CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 1644 公告中提及的多个漏洞的影响。

  - jackson-databind：com.zaxxer.hikari.HikariConfig 中的序列化小工具 (CVE-2019-14540)

  - jackson-databind：com.zaxxer.hikari.HikariDataSource 中的序列化小工具 (CVE-2019-16335)

  - jackson-databind：org.apache.commons.dbcp.datasources 中的序列化小工具。* (CVE-2019-16942)

  - jackson-databind：com.p6spy.engine.spy.P6DataSource 中的序列化小工具 (CVE-2019-16943)

  - jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

  - jackson-databind：缺少某些 net.sf.ehcache 阻断 (CVE-2019-20330)

  - jackson-databind：未正确处理序列化小工具与类型之间的交互，这可能导致远程命令执行（CVE-2020-10672、CVE-2020-10673）

  - jackson-databind：缺少特定 xbean-reflect/JNDI 阻断 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2024:5856 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 7 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 7.1.7 版本可替换 Red Hat JBoss Enterprise Application Platform 7.1.6，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.1.7 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * undertow：EAP：字段名称未按照 RFC7230 进行解析 [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils：apache-commons-beanutils：未在默认情况下禁用 PropertyUtilsBean 中的类属性 [eap-7.1.z] (CVE-2019-10086)

    * log4j：当应用程序配置为使用 JMSSink 时，Log4j 1.x 中会发生远程代码执行问题 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind：未正确处理默认输入导致远程代码执行 [eap-7.1.z] (CVE-2019-14379)

    * undertow：HTTP/2：使用 HEADERS 框架的洪流导致无限制内存增长 [eap-7.1.z] (CVE-2019-9514)

    * undertow：AJP 文件读取/注入漏洞 [eap-7.1.z] (CVE-2020-1745)

    * undertow：HTTP/2：大量的数据请求导致拒绝服务 [eap-7.1.z] (CVE-2019-9511)

    * undertow：servletPath 未经正确标准化，因此会造成危险的应用程序映射，这可能会导致安全绕过 [eap-7.1.z] (CVE-2020-1757)

    * undertow：侦听 HTTPS 的 Undertow HTTP 服务器中可能存在的拒绝服务 (DOS) 漏洞 [eap-7.1.z] (CVE-2019-14888)

    * log4j：Chainsaw 日志查看器中存在不安全的反序列化缺陷 [eap-7.1.z] (CVE-2022-23307)

    * netty：HttpObjectDecoder.java 允许内容长度标头附带第二个内容长度标头 [eap-7.1.z] (CVE-2019-20445)

    * log4j：当应用程序配置为使用 JMSAppender 时，Log4j 1.x 中会发生远程代码执行问题 [eap-7.1.z] (CVE-2021-4104)

    * undertow：HTTP/2：使用 SETTINGS 框架的 Flood 导致无限制的内存增长 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core：infinispan：ReflectionUtil 类的 invokeAccessibly 方法允许调用私有方法 [eap-7.1.z] (CVE-2019-10174)

    * log4j：当应用程序配置为使用 JDBCAppender 时，Log4j 1.x 中会发生 SQL 注入问题 [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind：无法阻止 logback-core 类进行多态反序列化，可导致远程代码执行 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager：安全管理器授权绕过 (CVE-2019-14843)

    * HTTP/2：使用 PING 帧进行淹没会导致无限的内存增长 (CVE-2019-9512)

    * netty：通过错误处理 HTTP 标头冒号前的空格来触发 HTTP 请求走私攻击 (CVE-2019-16869)

    * jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

    * netty：HTTP 请求走私 (CVE-2019-20444)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
251669	Linux Distros 未修补的漏洞：CVE-2019-17531	Nessus	Misc.	2025/8/19	2025/8/19	critical
138564	Oracle WebCenter Portal 多个漏洞（2020 年 7 月 CPU）	Nessus	Misc.	2020/7/16	2025/10/22	critical
131963	Debian DLA-2030-1：jackson-databind 安全更新	Nessus	Debian Local Security Checks	2019/12/12	2024/4/4	critical
133156	RHEL 6：RHEL 6 上的 Red Hat JBoss Enterprise Application Platform 7.2.6 (RHSA-2020: 0159)	Nessus	Red Hat Local Security Checks	2020/1/22	2024/11/7	critical
133158	RHEL 8：RHEL 8 上的 Red Hat JBoss Enterprise Application Platform 7.2.6 (RHSA-2020: 0161)	Nessus	Red Hat Local Security Checks	2020/1/22	2024/11/7	critical
146039	CentOS 8：pki-core: 10.6 和 pki-deps: 10.6 (CESA-2020: 1644)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	critical
135583	Oracle Primavera Gateway（2020 年 4 月 CPU）	Nessus	CGI abuses	2020/4/15	2024/6/17	critical
180911	Oracle Linux 8：pki-core: 10.6 / 和 / pki-deps: 10.6 (ELSA-2020-1644)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/11/1	critical
133157	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.2.6 (RHSA-2020: 0160)	Nessus	Red Hat Local Security Checks	2020/1/22	2024/11/7	critical
194923	Splunk Enterprise 9.0.0 < 9.0.9、9.1.0 < 9.1.4、9.2.0 < 9.2.1 (SVD-2024-0303)	Nessus	CGI abuses	2024/5/2	2025/5/12	critical
194148	RHEL 7：rh-maven35-jackson-databind (RHSA-2019:4192)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	critical
178710	Oracle Business Intelligence Enterprise Edition (OAS)（2023 年 7 月 CPU）	Nessus	Misc.	2023/7/21	2024/7/19	critical
183541	Ubuntu 16.04 ESM：Jackson Databind 漏洞 (USN-4813-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/28	critical
136041	RHEL 8：pki-core：10.6 和 pki-deps：10.6 (RHSA-2020: 1644)	Nessus	Red Hat Local Security Checks	2020/4/28	2025/3/19	critical
206210	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	2024/8/26	2024/11/7	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical