自己報告のバージョン番号によると、リモートホストにインストールされているJFrog Artifactoryのバージョンは7.8.1以前です。そのため、以下の複数の脆弱性の影響を受けます。

  - jackson-databindの、2.8.10および2.9.1の前のバージョンで非直列化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信し、コードを実行する可能性があります。（CVE-2017-15095）

  -2.8.10までのFasterXML jackson-databindおよび2.9.3までの2.9.xでは、CVE-2017-7525の逆シリアル化の欠陥の修正が不完全なため、認証されていないリモートコード実行が可能です。このことは、悪意を持って細工されたJSON入力をObjectMapperのreadValueメソッドに送信し、クラスパスでSpringライブラリが利用可能な場合に無効なブラックリストをバイパスすることで、悪用される可能性があります。（CVE-2017-17485）

  - jackson-databindの2.6.7.1、2.7.9.1および2.8.9の前のバージョンで非直列化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信し、コードを実行する可能性があります。（CVE-2017-7525）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

JFrog < 7.8.1の複数の脆弱性

critical Nessus プラグイン ID 147718

バージョン 1.4