SecBoard
Zurück zur CVE-Übersicht

CVE-2020-24616

HIGH(8.1)

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score23/100 — NIEDRIG
  • CVSS 8.1 — Hoch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

9.4%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

8.1

Technische Schwere

Beschreibung

FasterXML jackson-databind 2.x before 2.9.10.6 mishandles the interaction between serialization gadgets and typing, related to br.com.anteros.dbcp.AnterosDBCPDataSource (aka Anteros-DBCP).

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Behobene Versionen

  • 2.9.10.6
  • 2.9.10.20200824 (jackson-bom)
  • 2.10.0 (und höher)

Threat-Hunting-Queries

Die Schwachstelle betrifft die Deserialisierung von Java-Objekten, insbesondere die Interaktion zwischen Serialisierungs-Gadgets und Typisierung. Eine Verhaltenserkennung sollte auf ungewöhnliche Prozessausführungen oder Netzwerkverbindungen abzielen, die durch die Ausnutzung einer solchen Schwachstelle entstehen könnten.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessCommandLine contains "java" and ProcessCommandLine contains "br.com.anteros.dbcp.AnterosDBCPDataSource"
| where ProcessCommandLine contains "-jar" or ProcessCommandLine contains "-cp"
| project TimeGenerated, DeviceName, InitiatingProcessCommandLine, ProcessCommandLine, FileName, FolderPath

Splunk SPL

index=* sourcetype=process_events (command="*java*" AND command="*br.com.anteros.dbcp.AnterosDBCPDataSource*") | table _time, host, user, command

Sigma

title: Jackson Databind Anteros-DBCP Deserialization Attempt
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\java.exe'
    CommandLine|contains: 'br.com.anteros.dbcp.AnterosDBCPDataSource'
  condition: selection
level: high

Elastic ES|QL

from process where process.parent.executable.name == "java" and process.args contains "br.com.anteros.dbcp.AnterosDBCPDataSource"

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:linux:*:*
  • cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:*
  • cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:windows:*:*
  • cpe:2.3:a:oracle:agile_product_lifecycle_management:9.3.6:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:application_testing_suite:13.3.0.1:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:autovue_for_agile_product_lifecycle_management:21.0.2:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:banking_liquidity_management:14.2:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:banking_liquidity_management:14.3:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:banking_liquidity_management:14.5:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:banking_supply_chain_finance:14.2:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:banking_supply_chain_finance:14.3:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:banking_supply_chain_finance:14.5:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:blockchain_platform:*:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_calendar_server:8.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_calendar_server:8.0.0.4.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_cloud_native_core_unified_data_repository:1.4.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_contacts_server:8.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_contacts_server:8.0.0.5.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_diameter_signaling_router:*:*:*:*:*:*:*:*

Referenzen