远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2020: 3637 公告中提及的多个漏洞的影响。

  - hibernate：Hibernate ORM 中的 SQL 注入问题 (CVE-2019-14900)

  - jackson-databind：未正确处理序列化小工具与类型之间的交互，这可能导致远程命令执行（CVE-2020-10672、CVE-2020-10673）

  - dom4j: 默认 SAX 解析器中的 XML 外部实体漏洞 (CVE-2020-10683)

  - Undertow：由于在 HTTP 请求中允许无效字符，导致 CVE-2017-2666 的修复不完整 (CVE-2020-10687)

  - hibernate-validator：插入限制错误消息时未正确验证输入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 身份验证时的会话固定 (CVE-2020-10714)

  - wildfly：通过 EmbeddedManagedProcess API 暴露了 TCCL 设置 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Bean 中不安全的反序列化 (CVE-2020-10740)

  - wildfly：某些 EJB 事务对象可能发生累积，从而导致拒绝服务 (CVE-2020-14297)

  - wildfly：收到响应后，系统可能无法正确移除 EJB SessionOpenInvocations，从而导致拒绝服务 (CVE-2020-14307)

  - resteasy：未正确验证 MediaTypeHeaderDelegate.java 类中的响应标头 (CVE-2020-1695)

  - EAP：字段名称未按照 RFC7230 进行解析 (CVE-2020-1710)

  - wildfly：使用替代保护域时，WildFlySecurityManager 中存在不当授权问题 (CVE-2020-1748)

  -  Mojarra：loc 参数或 con 参数导致的路径遍历，CVE-2018-14371 的不完整修复 (CVE-2020-6950)

  - jackson-databind：缺少特定 xbean-reflect/JNDI 阻断 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 3638 公告中提及的多個弱點影響。

  - hibernate：Hibernate ORM 中的 SQL 注入攻擊問題 (CVE-2019-14900)

  - jackson-databind：未正確處理序列化小工具與類型之間的互動，可能導致遠端命令執行 (CVE-2020-10672、CVE-2020-10673)

  - dom4j：預設 SAX 剖析器中的 XML 外部實體弱點 (CVE-2020-10683)

  - Undertow：由於允許 HTTP 要求中存在無效字元，導致未能完整修復 CVE-2017-2666 (CVE-2020-10687)

  - hibernate-validator：插入限制錯誤訊息時未正確驗證輸入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 驗證時的工作階段固定 (CVE-2020-10714)

  - wildfly：透過 EmbeddedManagedProcess API 洩漏了 TCCL 設定 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Beans 中存在不安全的還原序列化 (CVE-2020-10740)

  - wildfly：某些 EJB 交易物件可能累積，從而造成拒絕服務 (CVE-2020-14297)

  - wildfly：收到回應後，可能無法正確移除 EJB SessionOpenInvocations，進而造成拒絕服務 (CVE-2020-14307)

  - resteasy：未正確驗證 MediaTypeHeaderDelegate.java 類別中的回應標頭 (CVE-2020-1695)

  - EAP：未依照 RFC7230 剖析欄位名稱 (CVE-2020-1710)

  - wildfly：使用替代保護網域時，WildFlySecurityManager 中存在不當授權問題 (CVE-2020-1748)

  - Mojarra：loc 或 con 參數導致的路徑遊走，CVE-2018-14371 的不完整修復 (CVE-2020-6950)

  - jackson-databind：缺少某個 xbean-reflect/JNDI 封鎖 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2020: 3637 公告中提及的多個弱點影響。

  - hibernate：Hibernate ORM 中的 SQL 注入攻擊問題 (CVE-2019-14900)

  - jackson-databind：未正確處理序列化小工具與類型之間的互動，可能導致遠端命令執行 (CVE-2020-10672、CVE-2020-10673)

  - dom4j：預設 SAX 剖析器中的 XML 外部實體弱點 (CVE-2020-10683)

  - Undertow：由於允許 HTTP 要求中存在無效字元，導致未能完整修復 CVE-2017-2666 (CVE-2020-10687)

  - hibernate-validator：插入限制錯誤訊息時未正確驗證輸入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 驗證時的工作階段固定 (CVE-2020-10714)

  - wildfly：透過 EmbeddedManagedProcess API 洩漏了 TCCL 設定 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Beans 中存在不安全的還原序列化 (CVE-2020-10740)

  - wildfly：某些 EJB 交易物件可能累積，從而造成拒絕服務 (CVE-2020-14297)

  - wildfly：收到回應後，可能無法正確移除 EJB SessionOpenInvocations，進而造成拒絕服務 (CVE-2020-14307)

  - resteasy：未正確驗證 MediaTypeHeaderDelegate.java 類別中的回應標頭 (CVE-2020-1695)

  - EAP：未依照 RFC7230 剖析欄位名稱 (CVE-2020-1710)

  - wildfly：使用替代保護網域時，WildFlySecurityManager 中存在不當授權問題 (CVE-2020-1748)

  - Mojarra：loc 或 con 參數導致的路徑遊走，CVE-2018-14371 的不完整修復 (CVE-2020-6950)

  - jackson-databind：缺少某個 xbean-reflect/JNDI 封鎖 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 2512 公告中提及的多個弱點影響。

  - CVE-2020-6950 Mojarra：loc 或 con 參數導致的路徑遊走，CVE-2018-14371 的不完整修復

  - thrift：提供特定輸入資料時，發生無限迴圈情形 (CVE-2019-0205)

  - thrift：與 TJSONProtocol 或 TSimpleJSONProtocol 相關的越界讀取 (CVE-2019-0210)

  - jackson-mapper-asl：XML 外部實體類似於 CVE-2016-3720 (CVE-2019-10172)

  - cxf：OpenId Connect 權杖服務未正確驗證 clientId (CVE-2019-12423)

  - wildfly：未遵守舊式安全性機制中的「enabled-protocols」值 (若正在使用 OpenSSL 安全性服務提供者) (CVE-2019-14887)

  - cxf：服務清單頁面存在反射型 XSS (CVE-2019-17573)

  - RESTEasy：RESTEasy 中的 RESTEASY003870 例外狀況可導致反映式 XSS 攻擊 (CVE-2020-10688)

  - undertow：可透過 Expect: 100-continue 標頭在 HttpReadListener 中造成記憶體耗盡問題 (CVE-2020-10705)

  - undertow：具有大區塊大小的無效 HTTP 請求 (CVE-2020-10719)

  - resteasy：未正確驗證 MediaTypeHeaderDelegate.java 類別中的回應標頭 (CVE-2020-1695)

  - wildfly：使用其他安全網域叫用另一個 EJB 之後，EJBContext 主體未彈回 (CVE-2020-1719)

  - SmallRye：SecuritySupport 類別遭到不當公開，且包含用於存取當前執行緒內容類別載入器的靜態方法 (CVE-2020-1729)

  - undertow：AJP 檔案讀取/包含弱點 (CVE-2020-1745)

  - undertow：servletPath 未經正確標準化，可造成危險的應用程式對應，進而可導致安全性繞過 (CVE-2020-1757)

  - Mojarra：loc 或 con 參數導致的路徑遊走，CVE-2018-14371 的不完整修復 (CVE-2020-6950)

  - cryptacular：解碼時發生記憶體分配過度 (CVE-2020-7226)

  - jackson-databind：缺少某個 xbean-reflect/JNDI 封鎖 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 br.com.anteros.dbcp.AnterosDBCPConfig (即 anteros-core) 相關。(CVE-2020-9548)

請注意，Nessus 依賴供應商報告的套件存在。

已針對 jackson-databind 來源套件報告下列 CVE。

CVE-2020-9546

FasterXML jackson-databind 2.9.10.4 之前的 2.x 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig (即陰影 hikari-config) 相關。

CVE-2020-9547

FasterXML jackson-databind 2.9.10.4 之前的 2.x 版本會錯誤處理序列化小工具與類型之間的互動，此問題與 com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (即 ibatis-sqlmap) 相關。

CVE-2020-9548

FasterXML jackson-databind 2.9.10.4 之前的2.x 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 br.com.anteros.dbcp.AnterosDBCPConfig (即 anteros-core) 相關。

針對 Debian 8「Jessie」，已在 2.4.2-2+deb8u12 版本中修正這些問題。

建議您升級 jackson-databind 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 16.04 ESM 主機上安裝的一個套件受到 USN-4813-1 公告中提及的多個弱點影響。

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.5 版本中發現一個問題。將 Jackson 預設輸入與 iBatis 的小工具類別一起使用時，可允許發生內容洩漏。已在 2.7.9.4、2.8.11.2 和 2.9.6 版中修正。(CVE-2018-11307)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 以及 2.9.6 版本中發現一個問題。當啟用 Default Typing (全域或針對特定屬性) 時，攻擊者可以透過提供 LDAP 服務來進行存取該服務類別路徑中的 Jodd-db jar (用於 Jodd 框架的資料庫存取)，從而可能使該服務執行惡意負載。(CVE-2018-12022)

  - 在 FasterXML jackson-databind 2.7.9.4、2.8.11.2 以及 2.9.6 版本中發現一個問題。當啟用 Default Typing (全域或針對特定屬性) 時，攻擊者可以透過提供 LDAP 服務來進行存取該服務類別路徑中的 Oracle JDBC jar，從而可能使該服務執行惡意負載。(CVE-2018-12023)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本允許遠端攻擊者利用無法封鎖來自多型還原序列化的 slf4j-ext 類別，執行任意程式碼。(CVE-2018-14718)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許遠端攻擊者利用無法封鎖來自多型還原序列化的 blaze-ds-opt 和 blaze-ds-core 類別，執行任意程式碼。
    (CVE-2018-14719)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的不明 JDK 類別，造成不明影響。
    (CVE-2018-14720)

  - FasterXML jackson-databind 2.x 至 2.9.7 版本可能允許遠端攻擊者利用無法封鎖來自多型還原序列化的 axis2-jaxws 類別，執行伺服器端要求偽造 (SSRF) 攻擊。(CVE-2018-14721)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 axis2-transport-jms 類別，造成不明影響。(CVE-2018-19360)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 openjpa 類別，造成不明影響。(CVE-2018-19361)

  - FasterXML jackson-databind 2.x 至 2.9.8 版本可能允許攻擊者透過利用無法封鎖來自多型還原序列化的 jboss-common-core 類別，造成不明影響。(CVE-2018-19362)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 版本中發現一個多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，該服務在類別路徑中具有 mysql-connector-java jar (8.0.14 或更早版本)，攻擊者可以託管受害者可存取的特製 MySQL 伺服器、攻擊者可以傳送特製的 JSON 資訊，允許其讀取伺服器上的任意本機檔案。這是因為缺少 com.mysql.cj.jdbc.admin.MiniAdmin 驗證所致。(CVE-2019-12086)

  - FasterXML jackson-databind 2.x 的 2.9.9.1 之前版本可能允許攻擊者利用無法阻止 logback-core 類別多型還原序列化的故障，來造成各種影響。視類別路徑內容而定，可能會導致遠端程式碼執行。(CVE-2019-12384)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9 中發現多型態輸入問題。為外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定屬性) 時，且該服務在類別路徑中具有 JDOM 1.x 或 2.x 時，攻擊者可以傳送特製的 JSON 訊息，讓他們可以讀取伺服器上的任意本機檔案。(CVE-2019-12814)

  - 在 FasterXML jackson-databind 2.9.9.2 之前版本中，SubTypeValidator.java 在使用 ehcache 時未正確處理預設輸入 (因為 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup)，進而導致遠端程式碼執行。(CVE-2019-14379)

  - 在 FasterXML jackson-databind 2.x 至 2.9.9.2 版本中發現一個多型態輸入問題。當針對外部公開的 JSON 端點啟用「預設輸入」(全域或針對特定內容)，且服務在類別路徑中有 logback jar 時，會發生此情況。(CVE-2019-14439)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。這與 com.zaxxer.hikari.HikariConfig 有關。(CVE-2019-14540)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。這與 com.zaxxer.hikari.HikariDataSource 有關。此弱點與 CVE-2019-14540 不同。
    (CVE-2019-16335)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或針對特定屬性)，且服務在類別路徑中具有 commons-dbcp (1.4) jar 時，如果攻擊者可找到要存取的 RMI 服務端點，則可能會使服務執行惡意承載。產生此問題的原因是，org.apache.commons.dbcp.datasources.SharedPoolDataSource 和 org.apache.commons.dbcp.datasources.PerUserPoolDataSource 處理不正確。(CVE-2019-16942)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或特定內容)，且服務在類別路徑中具有 p6spy (3.8.6) jar 時，如果攻擊者可找到要存取的 RMI 服務端點，則可能會使服務執行惡意承載。此問題之所以存在，是因為 com.p6spy.engine.spy.P6DataSource 處理不當。(CVE-2019-16943)

  - 在 FasterXML jackson-databind 2.9.10 之前版本中發現多型態輸入問題。該問題與 net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup 有關。(CVE-2019-17267)

  - 在 FasterXML jackson-databind 2.0.0 至 2.9.10 中發現多型態輸入問題。當針對外部公開的 JSON 端點啟用預設分型 (全域或針對特定屬性)，且服務在類別路徑中具有 apache-log4j-extra (1.2.x 版本) jar 時，如果攻擊者可提供 JNDI 服務端點，則可能會使服務執行惡意承載。(CVE-2019-17531)

  - FasterXML jackson-databind 2.x 至 2.9.10.2 版本缺少特定 net.sf.ehcache 封鎖。(CVE-2019-20330)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory (即 aries.transaction.jms) 相關。(CVE-2020-10672)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 com.caucho.config.types.ResourceRef (即 caucho-quercus) 相關。(CVE-2020-10673)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.aoju.bus.proxy.provider.remoting.RmiProvider 有關 (即 bus-proxy)。(CVE-2020-10968)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 javax.swing.JEditorPane 有關。(CVE-2020-10969)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.activemq 有關 * (即 activemq-jms、activemq-core、activemq-pool 和 activemq-pool-jms)。(CVE-2020-11111)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.proxy.provider.remoting.RmiProvider 有關 (即 apache/commons-proxy)。
    (CVE-2020-11112)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 rg.apache.openjpa.ee.WASRegistryManagedRuntime 有關 (即 openjpa)。(CVE-2020-11113)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.springframework.aop.config.MethodLocatingFactoryBean 有關 (即 spring-aop)。
    (CVE-2020-11619)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.commons.jelly.impl.Embedded 有關 (即 commons-jelly)。(CVE-2020-11620)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 oadd.org.apache.xalan.lib.sql.JNDIConnectionPool (即 apache/drill)。
    (CVE-2020-14060)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會不當處理序列化小工具與輸入之間的互動，此問題涉及 oracle.jms.AQjmsQueueConnectionFactory、oracle.jms.AQjmsXAtopicConnectionFactory、oracle.jms.AQjmstopicConnectionFactory、oracle.jms.AQjmsXAQueueConnectionFactory 和 oracle.jms.AQjmsXAConnectionFactory (即 weblogic/oracle-aqjms)。(CVE-2020-14061)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool (即 xalan2)。
    (CVE-2020-14062)

  - FasterXML jackson-databind 2.x 至 2.9.10.5 版本會錯誤處理序列化小工具與輸入之間的互動，此問題涉及 org.jsecurity.realm.jndi.JndiRealmFactory (即 org.jsecurity)。(CVE-2020-14195)

  - FasterXML jackson-databind 2.0.0 至 2.9.10.2 版本缺少特定 xbean-reflect/JNDI 封鎖，org.apache.xbean.propertyeditor.JndiConverter 即為一例。(CVE-2020-8840)

  FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig (即陰影 hikari-config) 相關。
    (CVE-2020-9546)

  - FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與類型之間的互動，此問題與 com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (即 ibatis-sqlmap) 相關。
    (CVE-2020-9547)

  FasterXML jackson-databind 2.x 至 2.9.10.4 版本會錯誤處理序列化小工具與輸入之間的互動，此問題與 br.com.anteros.dbcp.AnterosDBCPConfig (即 anteros-core) 相關。(CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 1644 公告中提及的多個弱點影響。

  - jackson-databind：com.zaxxer.hikari.HikariConfig 中的序列化小工具 (CVE-2019-14540)

  - jackson-databind：com.zaxxer.hikari.HikariDataSource 中的序列化小工具 (CVE-2019-16335)

  - jackson-databind：org.apache.commons.dbcp.datasources 中的序列化小工具。* (CVE-2019-16942)

  - jackson-databind：com.p6spy.engine.spy.P6DataSource 中的序列化小工具 (CVE-2019-16943)

  - jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

  - jackson-databind：缺少某些 net.sf.ehcache 封鎖 (CVE-2019-20330)

  - jackson-databind：未正確處理序列化小工具與類型之間的互動，可能導致遠端命令執行 (CVE-2020-10672、CVE-2020-10673)

  - jackson-databind：缺少某個 xbean-reflect/JNDI 封鎖 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 3639 公告中提及的多個弱點影響。

  - hibernate：Hibernate ORM 中的 SQL 注入攻擊問題 (CVE-2019-14900)

  - jackson-databind：未正確處理序列化小工具與類型之間的互動，可能導致遠端命令執行 (CVE-2020-10672、CVE-2020-10673)

  - dom4j：預設 SAX 剖析器中的 XML 外部實體弱點 (CVE-2020-10683)

  - Undertow：由於允許 HTTP 要求中存在無效字元，導致未能完整修復 CVE-2017-2666 (CVE-2020-10687)

  - hibernate-validator：插入限制錯誤訊息時未正確驗證輸入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 驗證時的工作階段固定 (CVE-2020-10714)

  - wildfly：透過 EmbeddedManagedProcess API 洩漏了 TCCL 設定 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Beans 中存在不安全的還原序列化 (CVE-2020-10740)

  - wildfly：某些 EJB 交易物件可能累積，從而造成拒絕服務 (CVE-2020-14297)

  - wildfly：收到回應後，可能無法正確移除 EJB SessionOpenInvocations，進而造成拒絕服務 (CVE-2020-14307)

  - resteasy：未正確驗證 MediaTypeHeaderDelegate.java 類別中的回應標頭 (CVE-2020-1695)

  - EAP：未依照 RFC7230 剖析欄位名稱 (CVE-2020-1710)

  - wildfly：使用替代保護網域時，WildFlySecurityManager 中存在不當授權問題 (CVE-2020-1748)

  - Mojarra：loc 或 con 參數導致的路徑遊走，CVE-2018-14371 的不完整修復 (CVE-2020-6950)

  - jackson-databind：缺少某個 xbean-reflect/JNDI 封鎖 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
140397	RHEL 6：RHEL 6 上的 Red Hat JBoss Enterprise Application Platform 7.2.9 (RHSA-2020: 3637)	Nessus	Red Hat Local Security Checks	2020/9/8	2024/11/7	critical
140390	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.2.9 (RHSA-2020: 3638)	Nessus	Red Hat Local Security Checks	2020/9/8	2024/11/7	critical
140397	RHEL 6：RHEL 6 上的 Red Hat JBoss Enterprise Application Platform 7.2.9 (RHSA-2020: 3637)	Nessus	Red Hat Local Security Checks	2020/9/8	2024/11/7	critical
137333	RHEL 7：Red Hat JBoss Enterprise Application Platform 7.3.1 安全性更新 (重要) (RHSA-2020: 2512)	Nessus	Red Hat Local Security Checks	2020/6/11	2024/11/7	critical
251665	Linux Distros 未修補的弱點：CVE-2020-9548	Nessus	Misc.	2025/8/19	2025/8/19	critical
134245	Debian DLA-2135-1：jackson-databind 安全性更新	Nessus	Debian Local Security Checks	2020/3/6	2024/3/25	critical
183541	Ubuntu 16.04 ESM：Jackson Databind 弱點 (USN-4813-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/28	critical
136041	RHEL 8：pki-core：10.6 和 pki-deps：10.6 (RHSA-2020: 1644)	Nessus	Red Hat Local Security Checks	2020/4/28	2025/3/19	critical
140392	RHEL 8：RHEL 8 上的 Red Hat JBoss Enterprise Application Platform 7.2.9 (RHSA-2020: 3639)	Nessus	Red Hat Local Security Checks	2020/9/8	2024/11/7	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical