PT-2022-6920 · Atlassian+4 · Bamboo Data Center/Server+9

Cowtowncoder · Publicado 2022-10-02 · Atualizado 2026-06-04 · CVE-2022-42003

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

FasterXML jackson-databind, versões 2.4.0-rc1 a 2.12.7.1

FasterXML jackson-databind, versões 2.13.x a 2.13.4.1

Bamboo Data Center e Server, versões 9.1.0 a 9.2.4

Bamboo Data Center e Server, versões 9.3.0 a 9.3.2

Bitbucket Data Center e Server, versões 7.17.0 a 7.21.13

Bitbucket Data Center e Server, versões 8.7.0 a 8.9.3

Bitbucket Data Center e Server, versões 8.10.0 a 8.10.3

Versões 8.11.0 a 8.11.2 do Bitbucket Data Center e Server

Versões 8.12.0 a 8.12.0 do Bitbucket Data Center e Server

Versões 8.13.0 a 8.13.0 do Bitbucket Data Center e Server

Descrição

A vulnerabilidade está relacionada ao esgotamento de recursos devido à falta de uma verificação nos deserializadores de valores primitivos para evitar o aninhamento profundo de matrizes de wrappers quando o recurso UNWRAP SINGLE VALUE ARRAYS está habilitado. Isso pode permitir que um invasor não autenticado exponha ativos no ambiente suscetíveis a exploração, sem impacto na confidencialidade, sem impacto na integridade e com alto impacto na disponibilidade, sem exigir interação do usuário.

Recomendações

Para as versões 2.4.0-rc1 a 2.12.7.1 do FasterXML jackson-databind, atualize para a versão 2.12.7.1 ou posterior.

Para as versões 2.13.x a 2.13.4.1 do FasterXML jackson-databind, atualize para a versão 2.13.4.2 ou posterior.

Para as versões 9.1.0 a 9.2.4 do Bamboo Data Center e Server, atualize para a versão 9.2.5 ou posterior.

Para as versões 9.3 do Bamboo Data Center e Server,

Exploit

Correção

DoS

Resource Exhaustion

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-400

CWE-502

Identificadores relacionados

BDU:2023-05618

CVE-2022-42003

DLA-3207-1

DSA-5283-1

GHSA-JJJH-JJXP-WPFF

MGASA-2024-0069

OESA-2023-1921

OESA-2023-1971

OPENSUSE-SU-2022_3995-1

OPENSUSE-SU-2024:12412-1

OPENSUSE-SU-2024:14395-1

RHSA-2023:0261

RHSA-2023:0552

RHSA-2023:0553

RHSA-2023:0554

RHSA-2023:1043

RHSA-2023:1044

RHSA-2023:1045

RHSA-2023:1064

RHSA-2023:1151

RHSA-2023:2097

RHSA-2023:3663

RHSA-2025:1746

RHSA-2025:1747

RLSA-2023:2097

ROSA-SA-2025-2629

SUSE-SU-2022:3995-1

SUSE-SU-2022_3995-1

Produtos afetados

Astra Linux

Bamboo

Bamboo Data Center/Server

Bitbucket

Bitbucket Data Center/Server

Jira

Jira Service Management Server

Rocky Linux

Suse

Jackson-Databind

Referências · 71

• 🔥 https://github.com/FasterXML/jackson-databind/issues/3590 · Exploit
• 🔥 https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=51020 · Exploit
• https://github.com/FasterXML/jackson-databind/commit/d78d00ee7b5245b93103fef3187f70543d67ca33 · Correção
• https://github.com/FasterXML/jackson-databind/commit/0e37a39502439ecbaa1a5b5188387c01bf7f7fa1 · Nota
• https://github.com/FasterXML/jackson-databind/blob/2.13/release-notes/VERSION-2.x · Nota
• https://github.com/FasterXML/jackson-databind/commits/jackson-databind-2.4.0-rc1?after=75b97b8519f0d50c62523ad85170d80a197a2c86+174&branch=jackson-databind-2.4.0-rc1&qualified_name=refs%2Ftags%2Fjackson-databind-2.4.0-rc1 · Nota
• https://github.com/FasterXML/jackson-databind/issues/3627 · Nota
• https://github.com/FasterXML/jackson-databind/commit/d499f2e7bbc5ebd63af11e1f5cf1989fa323aa45 · Nota
• https://github.com/FasterXML/jackson-databind/compare/jackson-databind-2.13.4.1...jackson-databind-2.13.4.2 · Nota
• https://github.com/FasterXML/jackson-databind/commit/7ba9ac5b87a9d6ac0d2815158ecbeb315ad4dcdc · Nota
• https://github.com/FasterXML/jackson-databind/commit/2c4a601c626f7790cad9d3c322d244e182838288 · Nota
• https://github.com/FasterXML/jackson-databind/issues/35 · Nota
• https://github.com/FasterXML/jackson-databind · Nota
• https://github.com/FasterXML/jackson-databind/commit/cd090979b7ea78c75e4de8a4aed04f7e9fa8deea · Nota
• https://safe-surf.ru/specialists/bulletins-nkcki/701810 · Nota de Segurança