Bulletin d'alerte Debian

DLA-1879-1 jackson-databind -- Mise à jour de sécurité pour LTS

Date du rapport :

12 août 2019

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 933393.
Dans le dictionnaire CVE du Mitre : CVE-2019-14379, CVE-2019-14439.

Plus de précisions :

Des défauts de désérialisation ont été découverts dans jackson-databind à propos de EHCache et logback/jndi. Cela pourrait permettre à un utilisateur non authentifié de réaliser une exécution de code à distance. Ce problème a été résolu en étendant la liste noire et en bloquant plus de classes de la désérialisation polymorphique.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 2.4.2-2+deb8u8.

Nous vous recommandons de mettre à jour vos paquets jackson-databind.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.