【活用ガイド】

JVNDB-2020-018320

FasterXML, LLC の Jackson-databind 等複数ベンダの製品における信頼できないデータのデシリアライゼーションに関する脆弱性

概要

FasterXML, LLC の Jackson-databind 等複数ベンダの製品には、信頼できないデータのデシリアライゼーションに関する脆弱性が存在します。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 8.1 (重要) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 6.8 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
影響を受けるシステム


Debian
  • Debian GNU/Linux 9.0
FasterXML, LLC
  • Jackson-databind 2.9.0 以上 2.9.10.8 未満
NetApp
  • NetApp Service Level Manager
オラクル
  • Blockchain Platform Service 21.1.2 およびそれ以前
  • Communications Session Route Manager
  • JD Edwards EnterpriseOne Orchestrator
  • JD Edwards EnterpriseOne Tools
  • Oracle Agile PLM 9.3.6
  • Oracle Application Testing Suite 13.3.0.1
  • Oracle AutoVue 21.0.2
  • Oracle Banking Corporate Lending Process Management 14.2
  • Oracle Banking Corporate Lending Process Management 14.3
  • Oracle Banking Corporate Lending Process Management 14.5
  • Oracle Banking Credit Facilities Process Management 14.2
  • Oracle Banking Credit Facilities Process Management 14.3
  • Oracle Banking Credit Facilities Process Management 14.5
  • Oracle Banking Extensibility Workbench 14.2
  • Oracle Banking Extensibility Workbench 14.3
  • Oracle Banking Extensibility Workbench 14.5
  • Oracle Banking Supply Chain Finance 14.2
  • Oracle Banking Supply Chain Finance 14.3
  • Oracle Banking Supply Chain Finance 14.5
  • Oracle Banking Treasury Management 14.4
  • Oracle Banking Virtual Account Management 14.2.0
  • Oracle Banking Virtual Account Management 14.3.0
  • Oracle Banking Virtual Account Management 14.5.0
  • Oracle Commerce Platform
  • Oracle Communications Billing and Revenue Management
  • Oracle Communications Cloud Native Core Policy
  • Oracle Communications Cloud Native Core Unified Data Repository
  • Oracle Communications Convergent Charging Controller
  • Oracle Communications Diameter Signaling Router
  • Oracle Communications Evolved Communications Application Server
  • Oracle Communications Network Charging and Control
  • Oracle Communications Policy Management
  • Oracle Communications Services Gatekeeper
  • Oracle Communications Session Element Manager
  • Oracle Communications Session Report Manager
  • Oracle Communications Unified Inventory Management
  • Oracle Data Integrator
  • Oracle GoldenGate Application Adapters
  • Oracle Insurance Policy Administration
  • Oracle Insurance Rules Palette
  • Primavera Gateway
  • Primavera Unifier

本脆弱性の影響を受ける製品の詳細については､ベンダ情報および参考情報をご確認ください｡
想定される影響

情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。
対策

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
ベンダ情報

Debian FasterXML, LLC NetApp オラクル
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 信頼できないデータのデシリアライゼーション(CWE-502) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2020-35728
参考情報

  1. National Vulnerability Database (NVD) : CVE-2020-35728
  2. 関連文書 : medium.com (on-jackson-cves-dont-panic-here-is-what-you-need-to-know-54cd0d6e8062)
更新履歴

  • [2024年07月25日]
      掲載

公表日2020/12/27
登録日2024/07/25
最終更新日2024/07/25