CVE-2019-14439ВысокийПодтвержденаЭксплойт есть
DEB
DEB
Бюллетени безопасности Debian (DSA)
DSA публикуются командой безопасности Debian для проблем, затрагивающих стабильный дистрибутив. Трекер security-tracker.debian.org дополнительно сопоставляет каждый CVE со статусом на уровне пакетов по всем поддерживаемым редакциям.
Регион
Международно
Обновления
1 ч
Лицензия
Общественное достояние
Бюллетени для стабильной и предыдущей стабильной версий Debian. Примечания к релизам содержат точную версию .deb-пакета, устраняющего каждую уязвимость.
https://www.debian.org/security/ →Поделиться ссылкой
Любой, у кого есть ссылка, сможет открыть эту уязвимость.
Проблема полиморфной типизации обнаружена в FasterXML jackson-databind 2.x до версии 2.9.9.2. Это происходит, когда включена типизация по у…
CVSS
7.5
Высокий
EPSS
0.11
p95
Опубликовано
2019-01-01
Обновлено
2019-01-01
Описание
Проблема полиморфной типизации обнаружена в FasterXML jackson-databind 2.x до версии 2.9.9.2. Это происходит, когда включена типизация по умолчанию (глобально или для определенного свойства) для внешне доступной конечной точки JSON, и в classpath сервиса есть jar logback.
Теги · CWE
Без аутентификации
CWE-502
CWE-502БазаЧерновик
Десериализация ненадёжных данных
Продукт десериализует ненадёжные данные без достаточной проверки того, что полученные данные окажутся допустимыми.
https://cwe.mitre.org/data/definitions/502.html →Открыть в коллекции CWE →CAPEC-586
CAPEC-586МетаЧерновик
Внедрение объектов
Злоумышленник пытается эксплуатировать приложение путём внедрения дополнительного вредоносного содержимого в процессе обработки сериализованных объектов. Разработчики используют сериализацию для преобразования данных или состояния в статичный двоичный формат с целью сохранения на диск или передачи по сети. Впоследствии эти объекты десериализуются для восстановления данных/состояния. Внедряя некорректный объект в уязвимое приложение, злоумышленник потенциально может скомпрометировать его, манипулируя процессом десериализации. Это может привести к ряду нежелательных последствий, включая удалённое выполнение кода.
https://capec.mitre.org/data/definitions/586.html →Открыть в коллекции CAPEC →Затронутые продукты
Banking_platformCommunications_diameter_signaling_routerCommunications_instant_messaging_serverFinancial_services_analytical_applications_infrastructure 8.0.2–8.0.8Global_lifecycle_management_opatch < 11.2.0.3.23Global_lifecycle_management_opatch 12.2.0.1.0–12.2.0.1.19Global_lifecycle_management_opatch 13.9.4.0.0–13.9.4.2.1Global_lifecycle_management_opatchGoldengate_stream_analytics < 19.1.0.0.1Jd_edwards_enterpriseone_orchestratorJd_edwards_enterpriseone_toolsPrimavera_gateway 17.7–17.12Primavera_gatewayRetail_customer_management_and_segmentation_foundationRetail_xstore_point_of_serviceSiebel_engineering_-_installer_\&_deployment ≤ 19.8Siebel_ui_framework ≤ 19.10
Вектор CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Хронология
2019-01-01
Опубликована
2019-01-01
Обновлена
Разбор CVSS 3.1
Вектор атаки
AV: N
Сеть (N)
Сложность атаки
AC: L
Низкая (L)
Требуемые привилегии
PR: N
Отсутствуют (N)
Взаимодействие с пользователем
UI: N
Отсутствует (N)
Область воздействия
S: U
Неизменная (U)
Воздействие на конфиденциальность
C: H
Высокое (H)
Воздействие на целостность
I: N
Отсутствует (N)
Воздействие на доступность
A: N
Отсутствует (N)
Индикаторы эксплуатации
EPSS
0.108 · p95
Известна эксплуатация (KEV)
Нет
Проверки Сканер-ВС
CVE-2019-14439
github-poc · https://github.com/jas502n/CVE-2019-14439
Затронутые продукты
Oracle
Jd Edwards Enterpriseone ToolsRetail Xstore Point Of ServiceFinancial Services Analytical Applications InfrastructureCommunications Diameter Signaling RouterBanking PlatformPrimavera GatewayCommunications Instant Messaging ServerSiebel Ui FrameworkRetail Customer Management And Segmentation FoundationJd Edwards Enterpriseone Orchestrator+3
| Продукт | Вендор | Статус |
|---|---|---|
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| banking_platform | * | Отслеживается |
| communications_diameter_signaling_router | * | Отслеживается |
Показаны первые 20 из 36
Источники данных
DEB
DEB
Бюллетени безопасности Debian (DSA)
DSA публикуются командой безопасности Debian для проблем, затрагивающих стабильный дистрибутив. Трекер security-tracker.debian.org дополнительно сопоставляет каждый CVE со статусом на уровне пакетов по всем поддерживаемым редакциям.
Регион
Международно
Обновления
1 ч
Лицензия
Общественное достояние
Бюллетени для стабильной и предыдущей стабильной версий Debian. Примечания к релизам содержат точную версию .deb-пакета, устраняющего каждую уязвимость.
https://www.debian.org/security/ →CVE
CVE
Национальная база данных уязвимостей США
NVD — репозиторий данных об управлении уязвимостями правительства США, построенный поверх списка CVE от MITRE. Каждая запись содержит утверждения применимости CPE, базовые оценки CVSS v2 и v3.x, сопоставление с CWE и перекрёстные ссылки на бюллетени.
Регион
США
Обновления
15 мин
Лицензия
Общественное достояние
Полный каталог публично раскрытых уязвимостей с привязкой к CPE, оценками CVSS и ссылками на первоисточники. Де-факто стандарт для кросс-вендорной корреляции.
https://nvd.nist.gov →UBU
UBU
Бюллетени безопасности Ubuntu (USN)
USN являются авторитетным источником для систем Ubuntu. CVE Tracker связывает каждую уязвимость со статусом по релизам (needed, released, not-affected) и с конкретной ошибкой в Launchpad, в которой интегрировано исправление.
Регион
Международно
Обновления
1 ч
Лицензия
CC BY-SA 3.0
Бюллетени безопасности для LTS- и промежуточных релизов Ubuntu: пакеты main, universe и (через Ubuntu Pro) ESM-расширенные.
https://ubuntu.com/security/notices →Связанные уязвимости