Bulletin d'alerte Debian
DLA-2065-1 apache-log4j1.2 -- Mise à jour de sécurité pour LTS
- Date du rapport :
- 12 janvier 2020
- Paquets concernés :
- apache-log4j1.2
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 947124.
Dans le dictionnaire CVE du Mitre : CVE-2019-17571. - Plus de précisions :
-
Est incluse dans Log4j 1.2, une bibliothèque de journalisation pour Java, une classe SocketServer qui est vulnérable à une désérialisation de données non fiables pouvant être exploitée pour exécuter à distance du code arbitraire si combinée avec un gadget de désérialisation lors d’écoute de trafic réseau non fiable pour des données de journal.
Pour Debian 8
Jessie
, ce problème a été corrigé dans la version 1.2.17-5+deb8u1.Nous vous recommandons de mettre à jour vos paquets apache-log4j1.2.
Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.