BDU:2019-04777 (CVE-2019-16943) — уязвимость компонента P6DataSource библиотеки Jackson-databind проекта FasterXML
По данным БДУ ФСТЭК России, по состоянию на 21.11.2023.
Критический — 9.8/10 Есть инциденты ИБ Устранена
Уязвимость компонента P6DataSource библиотеки Jackson-databind проекта FasterXML связана с недостатком механизма проверки вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к информации или вызвать отказ в обслуживании
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10; Fusion Middleware (Oracle) — версии 12.2.1.3.0, 12.2.1.4.0, 13.9.4.2.2; Primavera Unifier (Oracle) — версии 16.2, 16.1, 18.8, 19.12, от 17.7 до 17.12 включительно; и ещё 6 позиций
- Что делать: уязвимость устранена производителем — применить исправления: www.oracle.com, www.oracle.com
Сведения об уязвимости
| Идентификаторы | BDU:2019-04777 · CVE-2019-16943 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость компонента P6DataSource библиотеки Jackson-databind проекта FasterXML, позволяющая нарушителю получить несанкционированный доступ к информации или вызвать отказ в обслуживании |
| Даты | Опубликована: 22.12.2019 · Обновлена ФСТЭК: 21.11.2023 · Выявлена: 27.09.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-20 — недостаточная проверка вводимых данных |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10 · операционная система
- Fusion Middleware (Oracle) — версии 12.2.1.3.0, 12.2.1.4.0, 13.9.4.2.2 · ПО виртуализации/ПО виртуального программно-аппаратного средства
- Primavera Unifier (Oracle) — версии 16.2, 16.1, 18.8, 19.12, от 17.7 до 17.12 включительно · прикладное ПО информационных систем
- Astra Linux Common Edition (ООО «РусБИТех-Астра») — 2.12 «Орёл» · операционная система
- Jackson-databind (FasterXML) — до 2.9.10 · прикладное ПО информационных систем
- Banking Platform (Oracle) — версии 2.5.0, 2.6.0, 2.6.1, 2.6.2, 2.4.0, 2.4.1, 2.7.0, 2.7.1, 2.9.0 · прикладное ПО информационных систем
- Communications Calendar Server (Oracle) — версии 8.0.0.2.0, 8.0.0.3.0 · прикладное ПО информационных систем
- Primavera Gateway (Oracle) — версии от 17.12.0 до 17.12.6 включительно, от 18.8.0 до 18.8.8 включительно, 19.12.0 · прикладное ПО информационных систем
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Jackson-databind проекта FasterXML: Обновление программного обеспечения до 2.10.0-2 или более поздней версии
- Для Debian: Обновление программного обеспечения (пакета Jackson-databind проекта FasterXML) до 2.9.8-3+deb10u1 или более поздней версии
- Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpuapr2020.html; www.oracle.com/security-alerts/cpujan2020.html
- Для Astra Linux: Обновление программного обеспечения (пакета Jackson-databind проекта FasterXML) до 2.9.8-3+deb10u1 или более поздней версии
- Для ОС ОН «Стрелец»: Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10
