CVE-2018-7489

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 19.8%
CWE: CWE-184
KEV Durumu: Hayır

Yayım tarihi: 26 Şubat 2018

Etkilenen: fasterxml jackson-databind

FasterXML jackson-databind 2.7.9.3'den önce, 2.8.x 2.8.11.1'den önce ve 2.9.x 2.9.5'den önce sürümleri, CVE-2017-7525 seri hale getirme açığının eksik bir düzeltisi nedeniyle kimlik doğrulaması yapılmamış uzaktan kod çalıştırmasına izin verir. Bu, ObjectMapper'in readValue yöntemine kötü niyetli olarak oluşturulmuş JSON girişi göndererek, sınıf yolunda c3p0 kitaplıkları mevcutsa etkisiz olan bir kara listeyi atlayarak yararlanılabilir.

Orijinal açıklama (İngilizce)

FasterXML jackson-databind before 2.7.9.3, 2.8.x before 2.8.11.1 and 2.9.x before 2.9.5 allows unauthenticated remote code execution because of an incomplete fix for the CVE-2017-7525 deserialization flaw. This is exploitable by sending maliciously crafted JSON input to the readValue method of the ObjectMapper, bypassing a blacklist that is ineffective if the c3p0 libraries are available in the classpath.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.