リモートのUbuntu 16.04 LTSホストには、USN-4741-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jackson-databindの2.6.7.1、2.7.9.1および2.8.9の前のバージョンで非直列化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信し、コードを実行する可能性があります。（CVE-2017-7525）

  - バージョン2.8.10より前および2.9.1のjackson-databindで逆シリアル化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信してコードを実行できる可能性があります。この問題は、悪意を持って使用される可能性があるより多くのクラスをブラックリストに入れることによって、前の欠陥CVE-2017-7525を拡大します。（CVE-2017-15095）

  - org.codehaus.jackson: jackson-mapper-asl: 1.9.x ライブラリに欠陥が見つかりました。類似するCVE-2016-3720のXML外部エンティティの脆弱性も、異なるクラスのcodehaus jackson-mapper-aslライブラリに影響します。（CVE-2019-10172）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Ubuntu 16.04 LTS：Jacksonの脆弱性（USN-4741-1）

critical Nessus プラグイン ID 147976

バージョン 1.5

バージョン 1.4

バージョン 1.5 Oct 21, 2023, 5:06 AM Detection Plugin Feed: 202310210506
バージョン 1.4 Jan 18, 2023, 9:01 AM Logic Changes (Added support for s390x) Plugin Feed: 202301180901