Bulletin d'alerte Debian
DSA-4037-1 jackson-databind -- Mise à jour de sécurité
- Date du rapport :
- 16 novembre 2017
- Paquets concernés :
- jackson-databind
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2017-15095.
- Plus de précisions :
-
jackson-databind, une bibliothèque Java utilisée pour analyser le format JSON et d'autres formats, validait de façon incorrecte les entrées de l'utilisateur avant la désérialisation : suivant la DSA-4004-1 pour CVE-2017-7525, un ensemble de classes supplémentaire a été identifié comme non sûr pour la désérialisation.
Pour la distribution oldstable (Jessie), ce problème a été corrigé dans la version 2.4.2-2+deb8u2.
Pour la distribution stable (Stretch), ce problème a été corrigé dans la version 2.8.6-1+deb9u2.
Nous vous recommandons de mettre à jour vos paquets jackson-databind.