CVE-2020-36180ВысокийПодтвержденаЭксплойт есть
DEB
DEB
Бюллетени безопасности Debian (DSA)
DSA публикуются командой безопасности Debian для проблем, затрагивающих стабильный дистрибутив. Трекер security-tracker.debian.org дополнительно сопоставляет каждый CVE со статусом на уровне пакетов по всем поддерживаемым редакциям.
Регион
Международно
Обновления
1 ч
Лицензия
Общественное достояние
Бюллетени для стабильной и предыдущей стабильной версий Debian. Примечания к релизам содержат точную версию .deb-пакета, устраняющего каждую уязвимость.
https://www.debian.org/security/ →Поделиться ссылкой
Любой, у кого есть ссылка, сможет открыть эту уязвимость.
FasterXML jackson-databind 2.x до 2.9.10.8 неправильно обрабатывает взаимодействие между гаджетами сериализации и типизацией, связанными с …
CVSS
8.1
Высокий
EPSS
0.05
p91
Опубликовано
2020-01-01
Обновлено
2020-01-01
Описание
FasterXML jackson-databind 2.x до 2.9.10.8 неправильно обрабатывает взаимодействие между гаджетами сериализации и типизацией, связанными с org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS.
Теги · CWE
Без аутентификации
CWE-502
CWE-502БазаЧерновик
Десериализация ненадёжных данных
Продукт десериализует ненадёжные данные без достаточной проверки того, что полученные данные окажутся допустимыми.
https://cwe.mitre.org/data/definitions/502.html →Открыть в коллекции CWE →CAPEC-586
CAPEC-586МетаЧерновик
Внедрение объектов
Злоумышленник пытается эксплуатировать приложение путём внедрения дополнительного вредоносного содержимого в процессе обработки сериализованных объектов. Разработчики используют сериализацию для преобразования данных или состояния в статичный двоичный формат с целью сохранения на диск или передачи по сети. Впоследствии эти объекты десериализуются для восстановления данных/состояния. Внедряя некорректный объект в уязвимое приложение, злоумышленник потенциально может скомпрометировать его, манипулируя процессом десериализации. Это может привести к ряду нежелательных последствий, включая удалённое выполнение кода.
https://capec.mitre.org/data/definitions/586.html →Открыть в коллекции CAPEC →Затронутые продукты
Agile_plmApplication_testing_suiteAutovue_for_agile_product_lifecycle_managementBanking_corporate_lending_process_managementBanking_credit_facilities_process_managementBanking_extensibility_workbenchBanking_supply_chain_financeBanking_treasury_managementBanking_virtual_account_managementBlockchain_platform ≤ 21.1.2Commerce_platform 11.3.0–11.3.2Commerce_platformCommunications_billing_and_revenue_managementCommunications_cloud_native_core_policyCommunications_cloud_native_core_unified_data_repositoryCommunications_convergent_charging_controllerCommunications_diameter_signaling_route 8.0.0.0–8.5.0.0Communications_element_manager 8.2.0.0–8.2.4.0Communications_evolved_communications_application_serverCommunications_instant_messaging_serverCommunications_network_charging_and_controlCommunications_offline_mediation_controllerCommunications_policy_managementCommunications_pricing_design_centerCommunications_services_gatekeeperCommunications_session_report_manager 8.0.0.0–8.2.2.1Communications_session_route_manager 8.2.0.0–8.2.2.1Communications_unified_inventory_managementData_integratorDocumakerGoldengate_application_adaptersInsurance_policy_administration 11.1.0–11.3.0Insurance_policy_administrationInsurance_rules_palette 11.1.0–11.3.0Insurance_rules_paletteJd_edwards_enterpriseone_orchestrator < 9.2.5.3Jd_edwards_enterpriseone_tools < 9.2.5.3Primavera_gateway 17.12.0–17.12.11Primavera_gateway 18.8.0–18.8.11Primavera_gateway 19.12.0–19.12.10Primavera_gatewayPrimavera_unifier 17.7–17.12Primavera_unifierRetail_customer_management_and_segmentation_foundation 16.0–19.0Retail_merchandising_systemRetail_service_backboneRetail_xstore_point_of_serviceWebcenter_portal
Вектор CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Хронология
2020-01-01
Опубликована
2020-01-01
Обновлена
Разбор CVSS 3.1
Вектор атаки
AV: N
Сеть (N)
Сложность атаки
AC: H
Высокая (H)
Требуемые привилегии
PR: N
Отсутствуют (N)
Взаимодействие с пользователем
UI: N
Отсутствует (N)
Область воздействия
S: U
Неизменная (U)
Воздействие на конфиденциальность
C: H
Высокое (H)
Воздействие на целостность
I: H
Высокое (H)
Воздействие на доступность
A: H
Высокое (H)
Индикаторы эксплуатации
EPSS
0.050 · p91
Известна эксплуатация (KEV)
Нет
Проверки Сканер-ВС
CVE-2020-36180
github-poc · https://github.com/cuijiung/jackson-CVE-2020-36180
Затронутые продукты
Oracle
Jd Edwards Enterpriseone ToolsRetail Xstore Point Of ServicePrimavera UnifierCommunications Cloud Native Core PolicyWebcenter PortalCommunications Billing And Revenue ManagementApplication Testing SuitePrimavera GatewayCommunications Instant Messaging ServerRetail Customer Management And Segmentation Foundation+31
| Продукт | Вендор | Статус |
|---|---|---|
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| jackson-databind | Отслеживается | |
| agile_plm | * | Отслеживается |
| application_testing_suite | * | Отслеживается |
| autovue_for_agile_product_lifecycle_management | * | Отслеживается |
| banking_corporate_lending_process_management | * | Отслеживается |
| banking_credit_facilities_process_management | * | Отслеживается |
| banking_extensibility_workbench | * | Отслеживается |
Показаны первые 20 из 59
Источники данных
DEB
DEB
Бюллетени безопасности Debian (DSA)
DSA публикуются командой безопасности Debian для проблем, затрагивающих стабильный дистрибутив. Трекер security-tracker.debian.org дополнительно сопоставляет каждый CVE со статусом на уровне пакетов по всем поддерживаемым редакциям.
Регион
Международно
Обновления
1 ч
Лицензия
Общественное достояние
Бюллетени для стабильной и предыдущей стабильной версий Debian. Примечания к релизам содержат точную версию .deb-пакета, устраняющего каждую уязвимость.
https://www.debian.org/security/ →CVE
CVE
Национальная база данных уязвимостей США
NVD — репозиторий данных об управлении уязвимостями правительства США, построенный поверх списка CVE от MITRE. Каждая запись содержит утверждения применимости CPE, базовые оценки CVSS v2 и v3.x, сопоставление с CWE и перекрёстные ссылки на бюллетени.
Регион
США
Обновления
15 мин
Лицензия
Общественное достояние
Полный каталог публично раскрытых уязвимостей с привязкой к CPE, оценками CVSS и ссылками на первоисточники. Де-факто стандарт для кросс-вендорной корреляции.
https://nvd.nist.gov →UBU
UBU
Бюллетени безопасности Ubuntu (USN)
USN являются авторитетным источником для систем Ubuntu. CVE Tracker связывает каждую уязвимость со статусом по релизам (needed, released, not-affected) и с конкретной ошибкой в Launchpad, в которой интегрировано исправление.
Регион
Международно
Обновления
1 ч
Лицензия
CC BY-SA 3.0
Бюллетени безопасности для LTS- и промежуточных релизов Ubuntu: пакеты main, universe и (через Ubuntu Pro) ESM-расширенные.
https://ubuntu.com/security/notices →Связанные уязвимости