PT-2022-6919 · Atlassian+4 · Bitbucket Server+9

Publicado 2022-10-02 · Atualizado 2025-01-28 · CVE-2022-42004

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.2

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do FasterXML jackson-databind anteriores à 2.13.4

Versões 9.1.0, 9.2.1 e 9.3.0 do Bamboo Data Center e Server

Versões 7.17.0, 7.21.0, 8.7.0, 8.8.0, 8.9.0, 8.10.0, 8.11.0, 8.12.0 e 8.13.0 do Bitbucket Data Center e Server

Descrição

O problema está relacionado ao esgotamento de recursos devido à falta de uma verificação em BeanDeserializer. deserializeFromArray para impedir o uso de matrizes profundamente aninhadas. Isso pode ocorrer quando o recurso UNWRAP SINGLE VALUE ARRAYS está explicitamente habilitado. Um aplicativo fica vulnerável apenas com determinadas configurações personalizadas para a desserialização. A vulnerabilidade permite que um invasor não autenticado exponha ativos no ambiente suscetíveis a exploração, sem impacto na confidencialidade, sem impacto na integridade e com alto impacto na disponibilidade, sem exigir interação do usuário.

Recomendações

Para versões do FasterXML jackson-databind anteriores à 2.13.4, atualize para a versão 2.13.4 ou posterior.

Para o Bamboo Data Center e Server versão 9.2, atualize para uma versão igual ou superior a 9.2.5.

Para o Bamboo Data Center e Server versão 9.3, atualize para uma versão igual ou superior a 9.3.3.

Para o Bitbucket Data Center e Server versão 7.21, atualize para uma versão igual ou superior a 7.21.14.

Para o Bitbucket Data Center e Server versão 8.9, atualize para uma versão igual ou superior à 8.9.4.

Para o Bitbucket Data Center e Server versão 8.10, atualize para uma versão igual ou superior à 8.10.4.

Para

Exploit

Correção

DoS

Resource Exhaustion

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-400

CWE-502

Identificadores relacionados

BDU:2023-05617

CVE-2022-42004

DLA-3207-1

DSA-5283-1

GHSA-RGV9-Q543-RQG4

MGASA-2024-0069

OESA-2023-1921

OESA-2023-1971

OPENSUSE-SU-2022_3995-1

OPENSUSE-SU-2024:12412-1

RHSA-2023:0552

RHSA-2023:0553

RHSA-2023:0554

RHSA-2023:1043

RHSA-2023:1044

RHSA-2023:1045

RHSA-2023:1064

RHSA-2023:2097

RHSA-2023:3663

RHSA-2025:1746

RHSA-2025:1747

RLSA-2023:2097

ROSA-SA-2025-2629

SUSE-SU-2022:3995-1

Produtos afetados

Astra Linux

Bamboo

Bamboo Server

Bitbucket

Bitbucket Server

Jira

Jira Service Management Server

Rocky Linux

Suse

Jackson-Databind

Referências · 57

• 🔥 https://github.com/FasterXML/jackson-databind/issues/3582 · Exploit
• 🔥 https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=50490 · Exploit
• https://github.com/FasterXML/jackson-databind/commit/063183589218fec19a9293ed2f17ec53ea80ba88 · Correção
• https://github.com/FasterXML/jackson-databind/commit/0e37a39502439ecbaa1a5b5188387c01bf7f7fa1 · Nota
• https://github.com/FasterXML/jackson-databind/commit/cd090979b7ea78c75e4de8a4aed04f7e9fa8deea · Nota
• https://github.com/FasterXML/jackson-databind/commit/35de19e7144c4df8ab178b800ba86e80c3d84252 · Nota
• https://github.com/FasterXML/jackson-databind · Nota
• https://osv.dev/vulnerability/MGASA-2024-0069 · Aviso do Fabricante
• https://access.redhat.com/errata/RHSA-2023:2312 · Nota
• https://suse.com/support/update/announcement/2022/suse-su-20223995-1 · Nota
• https://lists.suse.com/pipermail/sle-security-updates/2022-November/012934.html · Nota
• https://security.netapp.com/advisory/ntap-20221118-0008 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-42004 · Aviso do Fabricante
• https://debian.org/security/2022/dsa-5283 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-42003 · Nota de Segurança