脆弱性の重要情報 CVE番号: CVE-2017-7525 コンポーネント: jackson-databind バージョン: 3.11.4およびその他のバージョン（具体的には：2.6.7.1より前、2.7.9.1より前、および2.8.9より前） 脆弱性の種類: リモートコード実行 (RCE) CVSSスコア: 7.5 (CVSS 2.0), 8.5 (Sonatype CVSS 3) CWE番号: CWE-502 ソース: 国家脆弱性データベース カテゴリ: データ 詳細説明 脆弱性の概要: jackson-databindで逆シリアライズ脆弱性が発見され、認証されていないユーザーがObjectMapperのreadValueメソッドに対して悪意のある入力を送信することでコードを実行できる。 脆弱性の原因: BeanDeserializerFactoryクラスのcreateBeanDeserializer[]関数は信頼できないJavaオブジェクトの逆シリアライズを許可し、攻撃者が悪意のあるシリアライズ済みオブジェクトをアップロードすることでRCEを引き起こす可能性がある。 検出および対応 検出方法: アプリケーションがデフォルトタイプの有効化状態でこのコンポーネントを使用している場合、そのアプリケーションは脆弱性を持つ。このコンポーネントがSpring Securityの一部として使用され、Spring Securityのバージョンが4.x系で4.2.3.RELEASE以降、または5.x系で5.0.0.M2以降の場合、影響を受けない。 推奨修正策: バージョン2.10.0以降にアップグレードするか、デフォルトタイプの設定を無効化する。 その他の情報 根本原因ファイル: apache-cassandra-3.11.4-bin.tar.gz 発生パス: ["apache-cassandra.zip"; "apache-cassandra.zip"] 脆弱性URL: CVE-2017-7525 修正アドバイス: このコンポーネントには脆弱性のないバージョンが存在しないため、修正のためにベンダーに連絡する必要がある。