CVE-2019-10172

CVE-2019-10172 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10172

このコンポーネント/パッケージには、脆弱性のない既知のバージョンは存在しません。 代替コンポーネントまたは潜在的な緩和策を調査することを推奨します。

緩和策

1. (望ましい) すべてのケースで com.codehaus.jackson の使用から com.fasterxml.jackson への切り替えを試み、com.codehaus.jackson ライブラリを削除する

2. パッチ適用済みライブラリを使用する: https://github.com/FasterXML/jackson-1/blob/master/src/mapper/java/org/codehaus/jackson/map/ext/DOMDeserializer.java を参照 https://github.com/FasterXML/jackson-1/blob/master/src/xc/java/org/codehaus/jackson/xc/DomElementJsonDeserializer.java ここでは _parserFactory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true) が設定されています