2020-0372: jackson-databind: Zwei Schwachstellen ermöglichen das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2020-02-21 12:27): Neues Advisory

Betroffene Software

Entwicklung

Betroffene Plattformen

Linux

Beschreibung:

Zwei Schwachstellen in jackson-databind basieren auf dem Fehlen bestimmter Blockierungen, also intendierter Sicherheitsmaßnahmen, und erlauben einem entfernten, nicht authentisierten Angreifer über einen bösartigen Client beliebigen Programmcode zur Ausführung zu bringen.

Debian veröffentlicht für Debian 8 Jessie (LTS) ein Sicherheitsupdate für jackson-databind auf die Version 2.4.2-2+deb8u11, um diese Schwachstellen über Backports zu beheben.

Schwachstellen:

CVE-2019-20330

Schwachstelle in jackson-databind ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2020-8840