Bulletin d'alerte Debian

DLA-1703-1 jackson-databind -- Mise à jour de sécurité pour LTS

Date du rapport :

4 mars 2019

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2018-11307, CVE-2018-12022, CVE-2018-12023, CVE-2018-14718, CVE-2018-14719, CVE-2018-14720, CVE-2018-14721, CVE-2018-19360, CVE-2018-19361, CVE-2018-19362.

Plus de précisions :

Plusieurs défauts de désérialisation ont été découverts dans jackson-databind, une bibliothèque JSON rapide et puissante pour Java. Ils pourraient permettre à un utilisateur non authentifié de réaliser une exécution de code. Ce problème a été corrigé en étendant la liste noire et le blocage de plus de classes d’une désérialisation polymorphique.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 2.4.2-2+deb8u5.

Nous vous recommandons de mettre à jour vos paquets jackson-databind.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.