Debian DSA-4619-1 : libxmlrpc3-java - セキュリティ更新プログラム

critical Nessus プラグイン ID 133534

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Guillaume Teissier氏から、JavaのXML-RPC実装libxmlrpc3-javaのXMLRPCクライアントにおいて、XMLRPCエラー応答メッセージのfaultCause属性の中で、シリアライズされたサーバーサイド例外の逆シリアライズが実行されるという報告がありました。悪意のあるXMLRPCサーバーがこの欠陥を利用することにより、Apache XMLRPCクライアントライブラリを使用して、アプリケーションの権限で任意コードを実行する可能性があります。

サーバーサイド例外を取得することを想定しているクライアントは、enabledForExceptionsプロパティを明示的に設定する必要があります。

ソリューション

libxmlrpc3-javaのパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（stretch）では、この問題はバージョン3.1.3-8+deb9u1で修正されています。

安定版（stable）ディストリビューション（buster）では、この問題はバージョン3.1.3-9+deb10u1で修正されています。