SecBoard
Zurück zur CVE-Übersicht

CVE-2020-8840

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score32/100 — MITTEL
  • CVSS 9.8 — Kritisch

EPSS-Score

26.6%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2020-8840 betrifft FasterXML Jackson-databind Versionen 2.0.0 bis 2.9.10.2 und ist eine Deserialisierungs-Schwachstelle. Sie ermöglicht die Ausführung von Remote Code durch fehlende Blockierung von xbean-reflect/JNDI, demonstriert durch org.apache.xbean.propertyeditor.JndiConverter. Dies kann zu einer vollständigen Kompromittierung des Systems führen. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als extrem kritisch einzustufen. Die EPSS-Rate von 27% deutet auf eine relevante Wahrscheinlichkeit hin, dass Exploits existieren oder entwickelt werden. Obwohl sie nicht in gelistet ist, bleibt das Risiko aufgrund der hohen CVSS-Bewertung erheblich. Security-Teams sollten umgehend alle betroffenen FasterXML Jackson-databind Instanzen auf eine nicht anfällige Version aktualisieren. Wo ein direktes Patching nicht sofort möglich ist, sollten temporäre Mitigationen wie das Blockieren bekannter anfälliger Gadget-Klassen oder die Einschränkung von JNDI-Lookups in Betracht gezogen werden. Eine Priorisierung dieser Maßnahme ist aufgrund der Kritikalität dringend empfohlen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

FasterXML jackson-databind 2.0.0 through 2.9.10.2 lacks certain xbean-reflect/JNDI blocking, as demonstrated by org.apache.xbean.propertyeditor.JndiConverter.

Betroffene Produkte

  • cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:oncommand_api_services:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:oncommand_workflow_automation:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:service_level_manager:-:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:steelstore_cloud_integrated_storage:-:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_9000_firmware:v300r006c20:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_9000_firmware:v300r006c20spc100:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_9000_firmware:v300r006c20spc200:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_9000_firmware:v300r006c20spc300:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:global_lifecycle_management_opatch:*:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:global_lifecycle_management_opatch:*:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:global_lifecycle_management_opatch:*:*:*:*:*:*:*:*

Referenzen