SecBoard
Zurück zur CVE-Übersicht

CVE-2020-9547

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score30/100 — MITTEL
  • CVSS 9.8 — Kritisch

EPSS-Score

18.4%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2020-9547 betrifft FasterXML Jackson-databind 2.x vor Version 2.9.10.4 und ist eine Schwachstelle, die die Interaktion zwischen Serialisierungs-Gadgets und Typisierung fehlerhaft behandelt, insbesondere im Zusammenhang mit com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig. Diese Schwachstelle kann zu einer kritischen Auswirkung führen, die typischerweise die Ausführung von beliebigem Code ermöglicht. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als extrem schwerwiegend einzustufen. Die EPSS-Rate von 18% deutet auf eine moderate, aber nicht zu vernachlässigende Wahrscheinlichkeit hin, dass Exploits existieren oder entwickelt werden. Security-Teams sollten umgehend alle betroffenen FasterXML Jackson-databind-Instanzen auf eine sichere Version aktualisieren, um das Risiko einer Kompromittierung zu minimieren. Eine Priorisierung dieser Maßnahme ist aufgrund der hohen Kritikalität und der potenziellen Auswirkungen dringend erforderlich.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

FasterXML jackson-databind 2.x before 2.9.10.4 mishandles the interaction between serialization gadgets and typing, related to com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (aka ibatis-sqlmap).

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Behobene Versionen

  • 2.9.10.4
  • 2.8.11.6
  • 2.7.9.7

Betroffene Produkte

  • cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fasterxml:jackson-databind:*:*:*:*:*:*:*:*
  • cpe:2.3:a:netapp:active_iq_unified_manager:*:*:*:*:*:linux:*:*
  • cpe:2.3:a:netapp:active_iq_unified_manager:*:*:*:*:*:windows:*:*
  • cpe:2.3:a:netapp:active_iq_unified_manager:*:*:*:*:*:vmware_vsphere:*:*
  • cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:autovue_for_agile_product_lifecycle_management:21.0.2:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:banking_platform:*:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_contacts_server:8.0.0.4.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_evolved_communications_application_server:7.1:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_instant_messaging_server:10.0.1.4.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_network_charging_and_control:*:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:communications_network_charging_and_control:6.0.1:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:enterprise_manager_base_platform:13.3.0.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:enterprise_manager_base_platform:13.4.0.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:global_lifecycle_management_opatch:*:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:jd_edwards_enterpriseone_orchestrator:*:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:jd_edwards_enterpriseone_tools:*:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:primavera_unifier:*:*:*:*:*:*:*:*

Referenzen