FreeBSD:jackson-databind -- 複数の脆弱性(0cb401f9-9f19-11f1-a655-3497f65b111b)

high Nessus プラグイン ID 339070

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0cb401f9-9f19-11f1-a655-3497f65b111b のアドバイザリに記載されている複数の脆弱性の影響を受けます。

ジャクソンプロジェクトは次のように報告しています。
PolymorphicTypeValidator は、ジェネリックタイプのパラメーターも検証する必要があります BasicPolymorphicTypeValidator の設定 allowIfSubTypeIsArray() は要素タイプを検証する必要があります安全でないポリモーフィックベースのタイプのセットで java.lang.Comparable を追加 @JsonView @JsonUnwrapped フィールド/セッタープロパティに対してバイパスされる @JsonView 一部のセッターレスクリエイタープロパティに対してバイパスされますラップされていない作成者パラメーターに対してバイパスされる@JsonView 外部タイプ ID(EXTERNAL_PROPERTY)プロパティの@JsonViewを遵守します @JsonIgnore セッターの名前を変更しましたプライベートフィールドを介して逆シリアル化する可能性があります PropertyNamingStrategy で無視される Record プロパティ@JsonIgnore 大文字と小文字を区別しない逆シリアル化は、間違った@JsonIgnorePropertiesを使用する可能性があります InetAddress の逆シリアル化時に DNS 解決を許可しない InetSocketAddress の逆シリアル化を改善 java.nio.file.Path 逆シリアル化のためにサポートされている URL スキームを制限する StreamReadConstraints 番号 len 制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。