BDU:2020-04468 (CVE-2020-11619) — уязвимость компонента spring-aop библиотеки Jackson-databind проекта FasterXML

По данным БДУ ФСТЭК России, по состоянию на 11.07.2025.

Критический — 9.8/10 Публичный эксплойт Есть инциденты ИБ Устранена

Уязвимость компонента spring-aop библиотеки Jackson-databind проекта FasterXML связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе

Кого касается и что делать

Уязвимое ПО: Primavera Unifier (Oracle) — версии 16.2, 16.1, 18.8, 19.12, от 17.7 до 17.12 включительно; WebCenter Portal (Oracle) — версии 12.2.1.3.0, 12.2.1.4.0; WebLogic Server (Oracle) — версии 12.2.1.3.0, 12.2.1.4.0; и ещё 34 позиции
Что делать: уязвимость устранена производителем — применить исправления: github.com, lists.debian.org, www.oracle.com
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2020-04468 · CVE-2020-11619
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость компонента spring-aop библиотеки Jackson-databind проекта FasterXML, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 29.09.2020 · Обновлена ФСТЭК: 11.07.2025 · Выявлена: 02.07.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-502 — восстановление в памяти недостоверных данных
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Primavera Unifier (Oracle) — версии 16.2, 16.1, 18.8, 19.12, от 17.7 до 17.12 включительно · прикладное ПО информационных систем
WebCenter Portal (Oracle) — версии 12.2.1.3.0, 12.2.1.4.0 · сетевое программное средство
WebLogic Server (Oracle) — версии 12.2.1.3.0, 12.2.1.4.0 · сетевое программное средство
Oracle Retail Merchandising System (Oracle) — версии 15.0, 15.0.3, 16.0.2, 16.0.3 · прикладное ПО информационных систем
Astra Linux Common Edition (ООО «РусБИТех-Астра») — 2.12 «Орёл» · операционная система
Red Hat Enterprise Linux (Red Hat) — 8 · операционная система
Database Server (Oracle) — версии 12.2.0.1, 18c, 19c · СУБД
Debian GNU/Linux (Сообщество свободного программного обеспечения) — 8 · операционная система
Jboss Fuse (Red Hat) — 7 · прикладное ПО информационных систем
Retail Customer Management and Segmentation Foundation (Oracle) — 18.0 · прикладное ПО информационных систем
Retail Xstore Point of Service (Oracle) — версии 15.0, 16.0, 17.0, 18.0, 19.0.0 · прикладное ПО информационных систем
OpenShift Application Runtimes (Red Hat) — 1.0 · прикладное ПО информационных систем
JBoss Enterprise Application Platform Continuous Delivery (Red Hat) — прикладное ПО информационных систем
Enterprise Manager Base Platform (Oracle) — версии 13.3.0.0, 13.4.0.0 · прикладное ПО информационных систем
Red Hat Descision Manager (Red Hat) — 7 · прикладное ПО информационных систем
Oracle Agile PLM (Oracle) — 9.3.6 · прикладное ПО информационных систем
Communications Instant Messaging Server (Oracle) — 10.0.1.4.0 · сетевое программное средство
Siebel UI Framework (Oracle) — до 20.5 включительно · прикладное ПО информационных систем
Jackson-databind (FasterXML) — от 2.0 до 2.9.10.4 · прикладное ПО информационных систем
Oracle Communications Contacts Server (Oracle) — версии 8.0.0.4.0, 8.0.0.5.0 · прикладное ПО информационных систем
Oracle Communications Evolved Communications Application Server (Oracle) — 7.1 · прикладное ПО информационных систем
Communications Network Charging and Control (Oracle) — версии 6.0.1, от 12.0.0 до 12.0.3 включительно · прикладное ПО информационных систем
JD Edwards EnterpriseOne Orchestrator (Oracle) — до 9.2.4.2 · прикладное ПО информационных систем
JD Edwards EnterpriseOne Tools (Oracle) — до 9.2.4.2 · прикладное ПО информационных систем
Communications Billing and Revenue Management (Oracle) — версии 7.5.0.23.0, 12.0.0.3.0 · прикладное ПО информационных систем
Oracle Retail Sales Audit (Oracle) — 14.1 · прикладное ПО информационных систем
Siebel Engineering — Installer & Deployment (Oracle) — до 2.20.5 включительно · прикладное ПО информационных систем
GoldenGate Stream Analytics (Oracle) — до 19.1.0.0.1 · прикладное ПО информационных систем
Oracle Global Lifecycle Management OPatch (Oracle) — до 12.2.0.1.20 включительно · прикладное ПО информационных систем
Red Hat Satellite (Red Hat) — версии 6.6 for RHEL 7, 6.7 for RHEL 7, 6.7 for RHEL 8 · прикладное ПО информационных систем
Communications Diameter Signaling Router (Oracle) — от 8.0.0 до 8.2.2 включительно · ПО сетевого программно-аппаратного средства
Communications Calendar Server (Oracle) — 8.0.0.4.0 · прикладное ПО информационных систем
JBoss Data Grid (Red Hat) — 7.3 · прикладное ПО информационных систем
Banking Platform (Oracle) — от 2.4.0 до 2.9.0 включительно · прикладное ПО информационных систем
РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
РОСА ХРОМ (АО «НТЦ ИТ РОСА») — 12.4 · операционная система
ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для jackson-databind: github.com/FasterXML/jackson-databind/issues/2680
Для Debian GNU/Linux: lists.debian.org/debian-lts-announce/2020/04/msg00012.html
Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpujul2020.html; www.oracle.com/security-alerts/cpujan2021.html
Для программных продуктов Red Hat: access.redhat.com/security/cve/cve-2020-11619
Для Astra Linux: Обновление программного обеспечения (пакета jackson-databind) до 2.8.6-1+deb9u8 или более поздней версии
Для ОС ОН «Стрелец»: Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10
Для операционной системы РОСА ХРОМ: abf.rosa.ru/advisories/ROSA-SA-2025-2629
Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: