Bulletin d'alerte Debian
DLA-2704-1 libxstream-java -- Mise à jour de sécurité pour LTS
- Date du rapport :
- 5 juillet 2021
- Paquets concernés :
- libxstream-java
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 989491.
Dans le dictionnaire CVE du Mitre : CVE-2021-29505. - Plus de précisions :
-
Une vulnérabilité dans XStream, une bibliothèque Java pour sérialiser des objets vers ou à partir du XML, peut permettre à un attaquant distant d’exécuter des commandes sur l’hôte simplement en manipulant le flux d’entrées traité.
Remarque : le projet XStream recommande de configurer son cadriciel de sécurité avec une liste blanche limitée au minimum des types nécessaires plutôt que de s’appuyer sur la liste noire (mise à jour pour corriger cette vulnérabilité). Le projet abandonne aussi progressivement l’entretien de la liste noire, consultez https://x-stream.github.io/security.html .
Pour Debian 9
Stretch
, ce problème a été corrigé dans la version 1.4.11.1-1+deb9u3.Nous vous recommandons de mettre à jour vos paquets libxstream-java.
Pour disposer d'un état détaillé sur la sécurité de libxstream-java, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/libxstream-java.
Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.