Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 9 (06.05.21):
Red Hat stellt für Red Hat OpenShift Container Platform 4.6 for RHEL 8
(x86_64) ein Sicherheitsupdate in Version 4.6.27 zur Behebung der
Schwachstelle bereit. Hierbei werden eine Reihe weiterer Schwachstellen
referenziert, die wahrscheinlich abhängige Pakete betreffen.
Version 8 (20.04.21):
Red Hat stellt Red Hat AMQ Streams 1.7.0 als Sicherheitsupdate über das
Red Hat Customer Portal bereit.
Version 7 (03.02.21):
Für openSUSE Leap 15.2 steht ein Sicherheitsupdate zur Behebung der
Schwachstelle in ‘jackson-databind’ zur Verfügung. Im Sicherheitshinweis
werden zwei weitere Schwachstellen erwähnt, die aber laut Changelog des
Build-Prozesses die eingesetzte Version 2.10.5.1 nicht betreffen.
Version 6 (03.02.21):
Für Fedora 32 steht ein Sicherheitsupdate im Status ‘testing’ bereit, mit
dem die Schwachstelle in ‘jackson-databind’ adressiert wird. Die
betroffene Software wird damit auf Version 2.10.5.1 aktualisiert.
Version 5 (03.02.21):
Für Red Hat Virtualization Manager 4.4 steht ein Sicherheitsupdate für die
‘ovirt-engine’ bereit, um die Schwachstelle zu beheben.
Version 4 (10.11.20):
Red Hat stellt den hauseigenen Build von Eclipse Vert.x in Version 3.9.4
als Sicherheitsupdate zur Behebung der Schwachstelle in dessen Komponente
‘jackson-databind’ zur Verfügung.
Version 3 (29.10.20):
Für Red Hat JBoss Enterprise Application Platform 7.3 für Red Hat
Enterprise Linux (RHEL) 6, 7 und 8 stehen Sicherheitsupdates zur Behebung
der Schwachstelle in ‘jackson-databind’ bereit.
Version 2 (23.10.20):
Für Red Hat Software Collections (for RHEL Server) 1 für RHEL 7, 7.6 und
7.7 sowie Red Hat Software Collections (for RHEL Workstation) 1 für RHEL 7
stehen Sicherheitsupdates für ‘rh-maven35-jackson-databind’ zur Verfügung.
Version 1 (14.10.20):
Neues Advisory
Eine Schwachstelle ermöglicht einem entfernten Angreifer die Durchführung
eines XML-External-Entity (XXE)-Angriffs.
Für Debian 9 Stretch (LTS) steht ein Sicherheitsupdate für ‘jackson-
databind’ in Version 2.8.6-1+deb9u8 bereit, um die Schwachstelle zu beheben.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2020-2250]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
