Jackson Databind で複数のセキュリティ脆弱性が見つかりました。

CVE-2020-24616

2.9.10.6 より前の FasterXML jackson-databind 2.x において、br.com.anteros.dbcp.AnterosDBCPDataSource (別名: Anteros-DBCP) に関連して、シリアライズガジェットと型付けの間の相互作用が不適切に処理されています。

CVE-2020-24750

2.9.10.6 より前の FasterXML jackson-databind 2.x において、com.pastdev.httpcomponents.configuration.JndiConfiguration に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-25649

FasterXML Jackson Databind に欠陥が見つかり、エンティティ拡張が適切に保護されていませんでした。この欠陥により、XML 外部エンティティ (XXE) 攻撃に対する脆弱性が存在します。この脆弱性が最大の脅威となるのは、データの整合性です。

CVE-2020-35490

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.apache.commons.dbcp2.datasources.PerUserPoolDataSource に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-35491

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.apache.commons.dbcp2.datasources.SharedPoolDataSource に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-35728

2.9.10.8 より前の FasterXML jackson-databind 2.x において、com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool (別名: embedded Xalan in org.glassfish.web/javax.servlet.jsp.jstl) に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36179

2.9.10.8 より前の FasterXML jackson-databind 2.x において、oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36180

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36181

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.apache.tomcat.dbcp.dbcp.cpdsadapter.DriverAdapterCPDS に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36182

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPD に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36183

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.docx4j.org.apache.xalan.lib.sql.JNDIConnectionPool に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36184

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36185

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36186

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36187

2.9.10.8 より前の FasterXML jackson-databind 2.x において、org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36188

2.9.10.8 より前の FasterXML jackson-databind 2.x において、com.newrelic.agent.deps.ch.qos.logback.core.db.JNDICS に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2020-36189

2.9.10.8 より前の FasterXML jackson-databind 2.x において、com.newrelic.agent.deps.ch.qos.logback.core.db.DMCS に関連して、シリアライズガジェットと型指定の間の相互作用が不適切に処理されています。

CVE-2021-20190

2.9.10.7 より前の jackson-databind に欠陥が見つかりました。FasterXML は、シリアル化ガジェットと入力の間の相互作用を不適切に処理します。
この脆弱性が最大の脅威となるのは、データの機密性と整合性、ならびにシステムの可用性です。

Debian 9 'Stretch' では、これらの問題はバージョン 2.8.6-1+deb9u9 で修正されています。

お使いの jackson-databind パッケージをアップグレードすることをお勧めます。

jackson-databindの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/jackson-databind

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストにインストールされているPrimavera Gatewayのバージョン17.12.11、18.8.11、19.12.10、20.12.0 は、2021年7月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - OracleコンストラクションおよびエンジニアリングのPrimavera Gateway製品の脆弱性（コンポーネント: Admin（Nimbus JOSE + JWT））。サポートされているバージョンで影響を受けるのは、18.8.0-18.8.11です。容易に悪用可能な脆弱性があり、認証されていない攻撃者がHTTPを使用してネットワークにアクセスし、Primavera Gatewayを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Gatewayの乗っ取りが発生する可能性があります。
    （CVE-2019-17195）

  - OracleコンストラクションおよびエンジニアリングのPrimavera Gateway製品の脆弱性（コンポーネント: Admin（Lodash））。サポートされているバージョンで影響を受けるのは、17.12.0-17.12.11、18.8.0-18.8.11、19.12.0-19.12.10、20.12.0です。悪用が難しい脆弱性により、認証されていない攻撃者がHTTPを使用してネットワークにアクセスし、Primavera Gatewayを侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、重要なデータやPrimavera Gatewayがアクセスできるすべてのデータへの権限のない作成、削除、変更アクセスが引き起こされたり、Primavera Gatewayでハングを引き起こしたり頻繁にクラッシュを繰り返す（完全なDOS）可能性があります。
    （CVE-2020-8203）

  - OracleコンストラクションおよびエンジニアリングのPrimavera Gateway製品の脆弱性（コンポーネント: Admin（Netty））。サポートされているバージョンで影響を受けるのは、17.12.0-17.12.11、18.8.0-18.8.11、19.12.0-19.12.10です。
    悪用が難しい脆弱性により、認証されていない攻撃者がHTTPを使用してネットワークにアクセスし、Primavera Gatewayを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータやPrimavera Gatewayがアクセスできるすべてのデータへの権限のない作成、削除、変更アクセスが引き起こされる可能性があります。
    （CVE-2021-21409）     
  - OracleコンストラクションおよびエンジニアリングのPrimavera Gateway製品の脆弱性（コンポーネント:
    jackson-databind）。（CVE-2020-36189）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.9.10.8 より前の FasterXML jackson-databind 2.x ] は、com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource に関連して、シリアル化ガジェットとタイピングの間の相互作用を不適切に処理します。
    (CVE-2020-36189)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされているPrimavera Unifierのバージョン17.12、18.8、19.12、20.12 は、2021年7月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Primavera UnifierのOracle SpatialとGraph Network Data Model（jackson-databind）コンポーネントのセキュリティの詳細な問題。（CVE-2020-36189）

  - OracleコンストラクションおよびエンジニアリングのPrimavera Unifier製品の脆弱性（コンポーネント: Core（Apache PDFbox））。サポートされているバージョンで影響を受けるのは、17.7-17.12、18.8、19.12、20.12です。簡単に悪用可能な脆弱性により、権限のない攻撃者が、Primavera Unifierが実行されているインフラストラクチャにログオンし、Primavera Unifierを危険にさらす可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Primavera Unifierをハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります。
    （CVE-2021-27906）

  - OracleコンストラクションおよびエンジニアリングのPrimavera Unifier製品の脆弱性（コンポーネント: Core UI（dojo））。サポートされているバージョンで影響を受けるのは、17.7-17.12、18.8、19.12、20.12です。容易に悪用可能な脆弱性により、権限の低い攻撃者がHTTPを介してネットワークにアクセスし、Primavera Unifierを侵害する可能性があります。
    この脆弱性に対して攻撃が成功すると、Primavera Unifierがアクセスできるいくつかのデータを、権限なしで更新、挿入、または削除可能になります。（CVE-2020-5258）

  - Oracle Database ServerのOracle SpatialとGraph Network Data Model（jackson-databind）コンポーネントのセキュリティの詳細な問題。この脆弱性は、この製品のコンテキストでは悪用できません。
    （CVE-2020-25649）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Splunk のバージョンは、テスト済みバージョンより前です。したがって、SVD-2024-0303 のアドバイザリに記載されている脆弱性の影響を受けます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
149019	DebianDLA-2638-1：jackson-databind セキュリティ更新	Nessus	Debian Local Security Checks	2021/4/27	2024/1/12	high
151974	Oracle Primavera Gateway（2021年7月CPU）	Nessus	CGI abuses	2021/7/22	2023/12/7	critical
251721	Linux Distros のパッチ未適用の脆弱性: CVE-2020-36189	Nessus	Misc.	2025/8/19	2025/8/19	high
151973	Oracle Primavera Unifier（2021年7月CPU）	Nessus	CGI abuses	2021/7/22	2023/12/7	high
194923	Splunk Enterprise 9.0.0 < 9.0.9、9.1.0 < 9.1.4、9.2.0 < 9.2.1 (SVD-2024-0303)	Nessus	CGI abuses	2024/5/2	2025/5/12	critical

検出

プラグインの検索

high

critical

high

high

critical