BDU:2019-04086
ООО «РусБИТех-Астра», Red Hat Inc., Oracle Corp., Fedora Project, АО «Концерн ВНИИНС», FasterXML, LL Red Hat Software Collections, Red Hat AMQ Streams, Communications Instant Messaging Server, Siebel E
2019-09-10
Уязвимость функции FasterXML Java-библиотеки для грамматического разбора JSON файлов jackson-databind связана с восстановлением в памяти недостоверной структуры данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации
Технический анализ и план устранения
Рекомендация ФСТЭК
Использование рекомендаций: Для jackson-databind: https://github.com/FasterXML/jackson-databind/issues/2389 https://github.com/FasterXML/jackson-databind/compare/jackson-databind-2.9.9.1...jackson-databind-2.9.9.2 https://github.com/FasterXML/jackson-databind/commit/ad418eeb974e357f2797aef64aa0e3ffaaa6125b
Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2019-14439
Для Debian GNU/Linux: https://lists.debian.org/debian-lts-announce/2019/08/msg00011.html https://www.debian.org/security/2019/dsa-4542
Для Fedora Project: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OVRZDN2T6AZ6DJCZJ3VSIQIVHBVMVWBL/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TXRVXNRFHJSQWFHPRJQRI5UPMZ63B544/
Для программных продуктов Oracle: https://www.oracle.com/security-alerts/cpujan2020.html https://www.oracle.com/technetwork/security-advisory/cpuoct2019-5072832.html
Для Astra Linux: Обновление программного обеспечения (пакета jackson-databind) до 2.8.6-1+deb9u6 или более поздней версии
Для ОС ОН «Стрелец»: Обновление программного обеспечения jackson-databind до версии 2.8.6-1+deb9u10
Пока никто не поделился опытом.
Станьте первым!