Java用のJSONライブラリであるjackson-databindで、ポリモーフィックタイピングの問題が発見されました。デフォルトのタイピング（グローバルまたは特定のプロパティに対して）が、外部に公開されているJSONエンドポイントに有効になっていて、サービスにはクラスパスのmysql-connector-java jar（8.0.14以前）があり、攻撃者が被害者の到達可能な細工されたMySQLサーバーをホストできる場合、攻撃者は細工されたJSONメッセージを送信して、サーバー上で任意のローカルファイルを読み取る可能性があります。これは、com.mysql.cj.jdbc.admin.MiniAdminが検証されないことが原因です。

Debian 8「Jessie」では、この問題はバージョン2.4.2-2+deb8u6で修正されました。

お使いのjackson-databindパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-1798-1: jackson-databindのセキュリティ更新プログラム

high Nessus プラグイン ID 125317

変更ログが見つかりません