在 Jackson Databind 中发现多个安全漏洞。

CVE-2020-24616

2.9.10.6 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的互动，该漏洞与 br.com.anteros.dbcp.AnterosDBCPDataSource（又称 Anteros-DBCP）相关。

CVE-2020-24750

2.9.10.6 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.pastdev.httpcomponents.configuration.JndiConfiguration 相关。

CVE-2020-25649

在 FasterXML Jackson Databind 中发现一个缺陷，即未正确保护实体扩展。此缺陷带来的漏洞可招致 XML 外部实体 (XXE) 攻击。此漏洞最主要的威胁对象是数据完整性。

CVE-2020-35490

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.dbcp2.datasources.PerUserPoolDataSource 相关。

CVE-2020-35491

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.dbcp2.datasources.SharedPoolDataSource 相关。

CVE-2020-35728

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool（又称 org.glassfish.web/javax.servlet.jsp.jstl 中的嵌入式 Xalan）相关。

CVE-2020-36179

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS 相关。

CVE-2020-36180

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS 相关。

CVE-2020-36181

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp.cpdsadapter.DriverAdapterCPDS 相关。

CVE-2020-36182

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS 相关。

CVE-2020-36183

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.docx4j.org.apache.xalan.lib.sql.JNDIConnectionPool 相关。

CVE-2020-36184

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource 相关。

CVE-2020-36185

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource 相关。

CVE-2020-36186

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource 相关。

CVE-2020-36187

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource 相关。

CVE-2020-36188

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.newrelic.agent.deps.ch.qos.logback.core.db.JNDICS 相关。

CVE-2020-36189

2.9.10.8 之前的 FasterXML jackson-databind 2.x 未正确处理序列化小工具与类型化之间的交互，该漏洞与 com.newrelic.agent.deps.ch.qos.logback.core.db.DMCS 相关。

CVE-2021-20190

在 2.9.10.7 之前的 jackson-databind 中发现一个缺陷。FasterXML 未正确处理序列化小工具和输入之间的交互。
此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。

对于 Debian 9 Stretch，已在版本 2.8.6-1+deb9u9 中修复这些问题。

建议您升级 jackson-databind 程序包。

如需了解 jackson-databind 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/jackson-databind

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程主机上安装的 Primavera Unifier 17.12、18.8、19.12 和 20.12 版本受到 2021 年 7 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Primavera Unifier 的 Oracle Spatial 和 Graph Network Data Model (jackson-databind) 组件中存在 Security-in-Depth 问题。(CVE-2020-36189)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：Core (Apache PDFbox)）。支持的版本中受影响的是 17.7-17.12、18.8、19.12 和 20.12。可轻松利用的漏洞允许未经身份验证的攻击者登录 Primavera Unifier 执行的基础结构，从而危害 Primavera Unifier。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致在未经授权的情况下使 Primavera Unifier 挂起或频繁出现崩溃（完整 DOS）。
    (CVE-2021-27906)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：Core UI (dojo)）。支持的版本中受影响的是 17.7-17.12、18.8、19.12 和 20.12。可轻松利用的漏洞允许低权限攻击者通过 HTTP 进行网络访问，从而危害 Primavera Unifier。
    成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Primavera Unifier 可访问数据的访问权限。(CVE-2020-5258)

  - Oracle Database Server 的 Oracle Spatial 和 Graph Network Data Model (jackson-databind) 组件中存在 Security-in-Depth 问题。无法在此产品环境中利用此漏洞。
    (CVE-2020-25649)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 Primavera Gateway 17.12.11、18.8.11、19.12.10 和 20.12.0 版本受到 2021 年 7 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Construction and Engineering 的 Primavera Gateway 产品存在漏洞（组件：Admin (Nimbus JOSE+JWT)）。支持的版本中受影响的是 18.8.0-18.8.11。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Gateway。成功攻击此漏洞可导致接管 Primavera Gateway。
    (CVE-2019-17195)

  - Oracle Construction and Engineering 的 Primavera Gateway 产品存在漏洞（组件：Admin (Lodash)）。支持的版本中受影响的是 17.12.0-17.12.11、18.8.0-18.8.11、19.12.0-19.12.10 和 20.12.0。难以利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Gateway。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Primavera Gateway 可访问数据的访问权限，以及在未经授权的情况即可造成 Primavera Gateway 挂起或频繁出现崩溃（完整 DOS）。
    (CVE-2020-8203)

  - Oracle Construction and Engineering 的 Primavera Gateway 产品存在漏洞（组件：Admin (Netty)）。支持的版本中受影响的是 17.12.0-17.12.11、18.8.0-18.8.11 和  19.12.0-19.12.10。
    难以利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Gateway。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Primavera Gateway 可访问数据的访问权限。
    (CVE-2021-21409)     
  - Oracle Construction and Engineering 的 Primavera Gateway 产品存在漏洞（组件：
    jackson-databind）。(CVE-2020-36189)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
149019	Debian DLA-2638-1：jackson-databind 安全更新	Nessus	Debian Local Security Checks	2021/4/27	2024/1/12	high
151973	Oracle Primavera Unifier（2021 年 7 月 CPU）	Nessus	CGI abuses	2021/7/22	2023/12/7	high
151974	Oracle Primavera Gateway（2021 年 7 月 CPU）	Nessus	CGI abuses	2021/7/22	2023/12/7	critical

检测

插件搜索

high

high

critical