Bulletin d'alerte Debian

DSA-4037-1 jackson-databind -- Mise à jour de sécurité

Date du rapport :

16 novembre 2017

Paquets concernés :

jackson-databind

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2017-15095.

Plus de précisions :

jackson-databind, une bibliothèque Java utilisée pour analyser le format JSON et d'autres formats, validait de façon incorrecte les entrées de l'utilisateur avant la désérialisation : suivant la DSA-4004-1 pour CVE-2017-7525, un ensemble de classes supplémentaire a été identifié comme non sûr pour la désérialisation.

Pour la distribution oldstable (Jessie), ce problème a été corrigé dans la version 2.4.2-2+deb8u2.

Pour la distribution stable (Stretch), ce problème a été corrigé dans la version 2.8.6-1+deb9u2.

Nous vous recommandons de mettre à jour vos paquets jackson-databind.