リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3995-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.14.0-rc1 より前の FasterXML jackson-databind で、UNWRAP_SINGLE_VALUE_ARRAYS 機能が有効な場合に、ラッパー配列の深いネスト化を回避するためのプリミティブな値のデシリアライザーのチェックがないため、リソース枯渇が発生する可能性があります。2.13.4.1 および 2.12.17.1 の追加修正バージョン (CVE-2022-42003)

  - 2.13.4 より前の FasterXML jackson-databind では、深くネスト化された配列の使用を防ぐ BeanDeserializer._deserializeFromArray のチェックがないため、リソース枯渇が発生する可能性があります。アプリケーションは、逆シリアル化のためにカスタマイズされた特定の選択肢がある場合にのみ脆弱です。(CVE-2022-42004)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: jackson-databind（SUSE-SU-2022:3995-1）

high Nessus プラグイン ID 167734

バージョン 1.2