Intel

CVE-2026-54513

Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

highEPSS 0.9 %

Beschreibung

jackson-databind enthält die allgemeine Zweckbindungsfunktionalität und Baumstruktur für den Jackson Data Processor. Von Version 2.10.0 bis einschließlich 2.18.8, 2.21.4 und 3.1.4 erlaubt BasicPolymorphicTypeValidator.Builder.allowIfSubTypeIsArray() jede Array-Typ basierend nur auf clazz.isArray(), ohne den Typ des Array-Elements gegen die konfigurierte Erlaubnisliste zu validieren. Ein PTV, das mit allowIfSubTypeIsArray() zusammen mit einer expliziten konkreten Typ-Erlaubnisliste erstellt wurde, erlaubt daher immer noch EvilType[], obwohl EvilType nicht auf der Erlaubnisliste steht. Wenn Jackson die Elemente deserialisiert und keine per-Element-Typ-IDs vorhanden sind, instanziert es den Komponententyp direkt ohne weitere PTV-Überprüfung, wodurch die Erlaubnisliste umgangen wird. Dieser Schwachpunkt ist in Version 2.18.8, 2.21.4 und 3.1.4 behoben.

Quelle: BSIBSI_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFBSIBSI_CSAFOSVNVDCVEORGCVELISTV5GHSA

Metriken

Severity
high
Priority-Score
137.09
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
8.1
Quelle: nvd-v3
CVSS v3
8.1
CVSS v4
—
EPSS-Perzentil
57.3 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.9 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-12 19:35 UTC
CWE
CWE-184

Weakness-Klassen (CWE)

  • CWE-184Base

    Incomplete List of Disallowed Inputs

    The product implements a protection mechanism that relies on a list of inputs (or properties of inputs) that are not allowed by policy or otherwise require other action to neutralize before additional processing takes place, but the list is incomplete.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-08-06 13:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:50846
    • Reference: https://access.redhat.com/errata/RHSA-2026:50847
    • Reference: https://access.redhat.com/errata/RHSA-2026:50848
    • Reference: https://access.redhat.com/errata/RHSA-2026:50849
  2. CVE Modified2026-07-30 12:19 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:48095
    • Reference: https://access.redhat.com/errata/RHSA-2026:48151
  3. CVE Modified2026-07-23 12:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:43400
    • Reference: https://access.redhat.com/errata/RHSA-2026:44061
    • Reference: https://access.redhat.com/errata/RHSA-2026:44062
    • Reference: https://access.redhat.com/errata/RHSA-2026:44063
  4. CVE Modified2026-07-22 12:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:43218
    • Affected: Red Hat Build of Apache Camel 4.18 for Quarkus 3.33, Red Hat Data Grid 8.6.2, Red Hat Enterprise Linux 9 (+85) → Red Hat Build of Apache Camel 4.18 for Quarkus 3.33, Red Hat Data Grid 8.6.2, Red Hat Enterprise Linux 8 (+85)
  5. CVE Modified2026-07-21 12:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:41951
    • Affected: Red Hat Build of Apache Camel 4.18 for Quarkus 3.33, Red Hat Enterprise Linux 9, Cryostat 4 (+85) → Red Hat Build of Apache Camel 4.18 for Quarkus 3.33, Red Hat Data Grid 8.6.2, Red Hat Enterprise Linux 9 (+85)

Betroffene Betriebssysteme

  • linux

    ubuntu / nettynoble

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    kafka2.8.0 – 3.9.2

  • apache

    kafka4.0.0 – 4.0.2

  • apache

    kafka4.1.0 – 4.1.2

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    golang1.26.0-0

  • eclipse

    vert.x4.0.0 – 4.5.29

  • eclipse

    vert.x5.0.0 – 5.1.4

  • go

    stdlib1.26.0-0

  • golang

    go1.26.0 – 1.26.2

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    go1.25.9

  • golang

    net0.55.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

Quellen & Referenzen

Verknüpfte CVEs

33 weitere CVEs anzeigen
IDCVE-2026-54513