Bulletin d'alerte Debian

DLA-1943-1 jackson-databind -- Mise à jour de sécurité pour LTS

Date du rapport :

3 octobre 2019

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 940498, Bogue 941530.
Dans le dictionnaire CVE du Mitre : CVE-2019-14540, CVE-2019-16335, CVE-2019-16942, CVE-2019-16943.

Plus de précisions :

D’autres défauts de désérialisation ont été découverts dans jackson-databind à propos des classes dans com.zaxxer.hikari.HikariConfig, com.zaxxer.hikari.HikariDataSource, commons-dbcp et com.p6spy.engine.spy.P6DataSource. Cela pourrait permettre à un utilisateur non authentifié de réaliser une exécution de code à distance. Ce problème a été résolu en étendant la liste noire et en bloquant plus de classes de la désérialisation polymorphique.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 2.4.2-2+deb8u9.

Nous vous recommandons de mettre à jour vos paquets jackson-databind.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.