Podatności FasterXML jackson-databind

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.newrelic.agent.deps.ch.qos.logback.core.db.JNDIConnectionSource.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp.cpdsadapter.DriverAdapterCPDS.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.commons.dbcp2.datasources.SharedPoolDataSource.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.commons.dbcp2.datasources.PerUserPoolDataSource.

W FasterXML Jackson Databind stwierdzono usterkę, w której ekspansja encji nie była odpowiednio zabezpieczona. Usterka ta umożliwia podatność na ataki XML External Entity (XXE). Największe zagrożenie z tej podatności dotyczy integralności danych.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.6 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.pastdev.httpcomponents.configuration.JndiConfiguration.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.6 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z br.com.anteros.dbcp.AnterosDBCPDataSource (znanym jako Anteros-DBCP).

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.5 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.jsecurity.realm.jndi.JndiRealmFactory (znanym jako org.jsecurity).

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.5 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z klasami oracle.jms (AQjmsQueueConnectionFactory, AQjmsXATopicConnectionFactory, AQjmsTopicConnectionFactory, AQjmsXAQueueConnectionFactory i AQjmsXAConnectionFactory), znanymi jako weblogic/oracle-aqjms.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.caucho.config.types.ResourceRef (znanym jako caucho-quercus).

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z br.com.anteros.dbcp.AnterosDBCPConfig (znanym jako anteros-core).

W FasterXML jackson-databind 2.x przed 2.9.9.2 występuje problem związany z typowaniem polimorficznym. Dzieje się tak, gdy domyślne typowanie jest włączone (globalnie lub dla konkretnej właściwości) dla zewnętrznie dostępnego punktu końcowego JSON, a usługa ma w classpath bibliotekę logback.

Podatność w bibliotece FasterXML jackson-databind (wersje przed 2.7.9.4, 2.8.11.2 i 2.9.6) występuje, gdy włączone jest Default Typing, w classpath znajduje się Oracle JDBC jar, a atakujący może dostarczyć usługę LDAP. W takiej konfiguracji możliwe jest zmuszenie usługi do wykonania złośliwego ładunku.

FasterXML jackson-databind 2.x przed 2.9.8 może pozwolić atakującym na wywarcie nieokreślonego wpływu poprzez wykorzystanie braku blokady klasy jboss-common-core podczas deserializacji polimorficznej.

FasterXML jackson-databind 2.x przed 2.9.8 może pozwolić atakującym na wywarcie nieokreślonego wpływu poprzez wykorzystanie braku blokady klasy openjpa podczas deserializacji polimorficznej.

FasterXML jackson-databind 2.x przed 2.9.8 może pozwolić atakującym na wywarcie nieokreślonego wpływu poprzez wykorzystanie braku blokady klasy axis2-transport-jms podczas deserializacji polimorficznej.

FasterXML jackson-databind 2.x przed 2.9.7 może pozwolić zdalnym atakującym na przeprowadzenie ataków typu server-side request forgery (SSRF) poprzez wykorzystanie braku blokady klasy axis2-jaxws podczas deserializacji polimorficznej.

FasterXML jackson-databind 2.x przed 2.9.7 może pozwolić atakującym na przeprowadzenie ataków typu external XML entity (XXE) poprzez wykorzystanie braku blokady nieokreślonych klas JDK podczas deserializacji polimorficznej.

FasterXML jackson-databind w wersjach przed 2.7.9.3, 2.8.x przed 2.8.11.1 oraz 2.9.x przed 2.9.5 pozwala na zdalne wykonanie kodu bez uwierzytelnienia z powodu niekompletnej poprawki luki deserializacji CVE-2017-7525. Podatność można wykorzystać, wysyłając złośliwie spreparowany JSON do metody readValue klasy ObjectMapper, omijając nieskuteczną czarną listę, jeśli w classpath dostępne są biblioteki c3p0.

Podatność w FasterXML jackson-databind powoduje złożoność kwadratową podczas deserializacji dokumentów z tożsamościami obiektów (JsonIdentityInfo). Przy odwrotnej kolejności definiowania identyfikatorów, liczba porównań rośnie kwadratowo, co może prowadzić do przeciążenia CPU.

Podatność w FasterXML jackson-databind powoduje niekontrolowany wzrost pamięci przy użyciu polimorfizmu opartego na nazwach z fallbackiem (defaultImpl). Każdy nieznany identyfikator typu jest przechowywany w mapie bez ograniczeń, co prowadzi do wycieku pamięci.

W FasterXML jackson-databind przed wersją 2.13.4 może wystąpić wyczerpanie zasobów z powodu braku sprawdzenia w BeanDeserializer._deserializeFromArray, aby zapobiec użyciu głęboko zagnieżdżonych tablic. Aplikacja jest podatna tylko przy określonych, niestandardowych ustawieniach deserializacji.

W FasterXML jackson-databind przed wersjami 2.13.4.1 i 2.12.17.1 może wystąpić wyczerpanie zasobów z powodu braku kontroli w deserializatorach wartości prymitywnych, aby uniknąć głębokiego zagnieżdżania tablic, gdy włączona jest funkcja UNWRAP_SINGLE_VALUE_ARRAYS.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.activemq.* (znanym jako activemq-jms, activemq-core, activemq-pool i activemq-pool-jms).

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z javax.swing.JEditorPane.

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.aoju.bus.proxy.provider.remoting.RmiProvider (znanym jako bus-proxy).

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory (znanym jako aries.transaction.jms).