2021-0198: jackson-databind: Mehrere Schwachstellen ermöglichen u. a. einen XML-External-Entity-Angriff

Historie:

Version 1 (2021-02-01 12:57): Neues Advisory

Betroffene Software

Entwicklung

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um einen XML-External-Entity (XXE)-Angriff und weitere nicht spezifizierte Angriffe durchzuführen, die Einfluss auf die Vertraulichkeit und Integrietät der Daten sowie die Systemverfügbarkeit haben können. Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Für SUSE Linux Enterprise Module for Development Tools 15 SP2 steht ein Sicherheitsupdate bereit, um die Schwachstellen zu beheben. jackson-databind wird damit auf Version 2.10.5.1 aktualisiert.

Schwachstellen:

CVE-2020-25649

Schwachstelle in jackson-databind ermöglicht XML-External-Entity-Angriff

CVE-2020-35728

Schwachstelle in jackson-databind ermöglicht nicht spezifizierte Angriffe

CVE-2021-20190