LTS — Prise en charge à long terme de Debian / LTS — Informations de sécurité / 2019 / Informations sur la sécurité -- DLA-1662-1 libthrift-java

Bulletin d'alerte Debian

DLA-1662-1 libthrift-java -- Mise à jour de sécurité pour LTS

Date du rapport :

6 février 2019

Paquets concernés :

libthrift-java

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 918736.
Dans le dictionnaire CVE du Mitre : CVE-2018-1320.

Plus de précisions :

Il était possible de contourner la validation isComplete de la négociation SASL dans libthrift-java, une prise en charge du langage Java pour le cadriciel Thrift d’Apache. Une assertion utilisée pour déterminer si une initialisation de connexion SASL s’est terminée avec succès pourrait être désactivée dans les réglages de production, rendant la validation inachevée.

Pour Debian 8 Jessie, ce problème a été corrigé dans la version 0.9.1-2+deb8u1.

Nous vous recommandons de mettre à jour vos paquets libthrift-java.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.