在 jackson-databind 中發現其他多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，且該服務在類別路徑中具有 JDOM 1.x 或 2.x 或 logback-core jar 時，攻擊者可以傳送特製的 JSON 訊息，讓他們可以讀取伺服器上的任意本機檔案。針對 Debian 8「Jessie」，這些問題已在 2.4.2-2~deb8u7 版本中修正。建議您升級 jackson-databind 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Red Hat Enterprise Linux 7.2 之 Red Hat JBoss Enterprise Application Platform 7 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。本版本 Red Hat JBoss Enterprise Application Platform 7.2.4 是 Red Hat JBoss Enterprise Application Platform 7.2.3 的替代版本，其中包含錯誤修正和增強功能。如需此本版本中包含的最重要錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.2.4 版本資訊。安全性修正：* jackson-databind：預設輸入處理不當導致遠端程式碼執行 (CVE-2019-14379) * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 (CVE-2019-12384) * jackson-databind：多型輸入問題可讓攻擊者透過特製 JSON 訊息而讀取伺服器上的任意本機檔案 (CVE-2019-12814) * undertow：io.undertow.request.security 的 DEBUG 記錄如果啟用，會將認證洩漏到記錄檔 (CVE-2019-10212) * codehaus：jackson-databind 弱點中的不安全還原序列化的修正不完整 (CVE-2019-10202) * jackson-databind：多型輸入問題可讓攻擊者讀取伺服器上的任意本機檔案 (CVE-2019-12086) * undertow：要求目錄但遺漏結尾斜線而導致資訊洩漏 (CVE-2019-10184)

現已提供適用於 Red Hat Enterprise Linux 8 之 Red Hat JBoss Enterprise Application Platform 7.2 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。本版本 Red Hat JBoss Enterprise Application Platform 7.2.4 是 Red Hat JBoss Enterprise Application Platform 7.2.3 的替代版本，其中包含錯誤修正和增強功能。如需此本版本中包含的最重要錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.2.4 版本資訊。安全性修正：* jackson-databind：預設輸入處理不當導致遠端程式碼執行 (CVE-2019-14379) * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 (CVE-2019-12384) * jackson-databind：多型輸入問題可讓攻擊者透過特製 JSON 訊息而讀取伺服器上的任意本機檔案 (CVE-2019-12814) * undertow：io.undertow.request.security 的 DEBUG 記錄如果啟用，會將認證洩漏到記錄檔 (CVE-2019-10212) * codehaus：jackson-databind 弱點中的不安全還原序列化的修正不完整 (CVE-2019-10202) * jackson-databind：多型輸入問題可讓攻擊者讀取伺服器上的任意本機檔案 (CVE-2019-12086) * undertow：要求目錄但遺漏結尾斜線而導致資訊洩漏 (CVE-2019-10184)

遠端 Oracle Linux 8 主機上安裝的套件受到 ELSA-2019-2720 公告中提及的一個弱點影響。

  - FasterXML jackson-databind 2.x 的 2.9.9.1 之前版本可能允許攻擊者利用無法阻止 logback-core 類別多型還原序列化的故障，來造成各種影響。視類別路徑內容而定，可能會導致遠端程式碼執行。(CVE-2019-12384)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的多個套件受到 RHSA-2024:5856 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 7 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 7.1.7 是 Red Hat JBoss Enterprise Application Platform 7.1.6 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.1.7 版本資訊。

    安全性修正：

    * undertow：EAP：未依照 RFC7230 剖析欄位名稱 [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils：apache-commons-beanutils：未預設隱藏 PropertyUtilsBean 中的類別屬性 [eap-7.1.z] (CVE-2019-10086)

    * log4j：應用程式設定為使用 JMSSink 時，Log4j 1.x 中將出現遠端程式碼執行問題 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind：預設輸入處理不當導致遠端程式碼執行 [eap-7.1.z] (CVE-2019-14379)

    * undertow：HTTP/2：使用 HEADERS 框架的溢流導致記憶體無限增長 [eap-7.1.z] (CVE-2019-9514)

    * undertow：AJP 檔案讀取/包含弱點 [eap-7.1.z] (CVE-2020-1745)

    * undertow：HTTP/2：大量的資料要求導致拒絕服務 [eap-7.1.z] (CVE-2019-9511)

    * undertow：servletPath 未經正確標準化，可造成危險的應用程式對應，進而可導致安全機制迴避 [eap-7.1.z] (CVE-2020-1757)

    * undertow：在接聽 HTTPS 的 Undertow HTTP 伺服器中可能發生拒絕服務 (DOS) [eap-7.1.z] (CVE-2019-14888)

    * log4j：Chainsaw 記錄檢視器中的不安全還原序列化缺陷 [eap-7.1.z] (CVE-2022-23307)

    * netty：HttpObjectDecoder.java 允許 Content-Length 標頭隨附第二個 Content-Length 標頭 [eap-7.1.z] (CVE-2019-20445)

    * log4j：應用程式設定為使用 JMSAppender 時，Log4j 1.x 中將出現遠端程式碼執行問題 [eap-7.1.z] (CVE-2021-4104)

    * undertow：HTTP/2：使用 SETTINGS 框架的溢流導致記憶體無限增長 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core：infinispan：ReflectionUtil 類別的 invokeAccessibly 方法允許叫用私密方法 [eap-7.1.z] (CVE-2019-10174)

    * log4j：應用程式設定為使用 JDBCAppender 時，Log4j 1.x 中將出現 SQL 插入問題 [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager：安全性管理員授權繞過 (CVE-2019-14843)

    * HTTP/2：使用 PING 框架的溢流，會導致無限的記憶體增長 (CVE-2019-9512)

    * netty：未正確處理 HTTP 標頭冒號前的空格而導致 HTTP 要求走私 (CVE-2019-16869)

    * jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

    * netty：HTTP 要求走私 (CVE-2019-20444)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
126126	Debian DLA-1831-1：jackson-databind 安全性更新	Nessus	Debian Local Security Checks	2019/6/24	2024/5/15	medium
129517	RHEL 7：JBoss EAP (RHSA-2019:2936)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/7	critical
129518	RHEL 8：JBoss EAP (RHSA-2019:2937)	Nessus	Red Hat Local Security Checks	2019/10/2	2024/11/6	critical
180815	Oracle Linux 8：pki-deps：10.6 (ELSA-2019-2720)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/11/1	medium
206210	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	2024/8/26	2024/11/7	critical

検出

プラグインの検索

medium

critical

critical

medium

critical