GLSA 201610-01: Groovy: Arbitrary code execution

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	Groovy: Arbitrary code execution
Дата:	06.10.2016
Ошибки:	#555470
ID:	201610-01

Сводка

Groovy is vulnerable to a remote execution of arbitrary code when java serialization is used.

Назначение

A multi-faceted language for the Java platform

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-java/groovy	< 2.4.5	>= 2.4.5	All supported architectures

Описание

Groovy’s MethodClosure class, in runtime/MethodClosure.java, is vulnerable to a crafted serialized object.

Воздействие

Remote attackers could potentially execute arbitrary code, or cause Denial of Service condition

Обход

A workaround exists by using a custom security policy file utilizing the standard Java security manager, or do not rely on serialization to communicate remotely.

Решение

All Groovy users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-java/groovy-2.4.5"

Ссылки

CVE-2015-3253

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201610-01.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.