Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.9.10 および 2.10.0より前のすべてのバージョンの FasterXML jackson-databind に、欠陥が見つかりました。このため、「enableDefaultTyping()」などの多態的な型処理メソッドと組み合わせて使用されると、xalan JNDI ガジェットを使用して、悪意のあるオブジェクトの多態的な逆シリアル化が行われる可能性があります。 @JsonTypeInfo が「Id.CLASS」または「Id.MINIMAL_CLASS」を使用している場合、または ObjectMapper.readValue が安全でないソースからオブジェクトをインスタンス化する可能性がある他の方法で、攻撃者がこの欠陥を利用して、任意のコードを実行する可能性があります。
    (CVE-2019-14893)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2019-14893

critical Nessus プラグイン ID 222389

バージョン 1.4