Säkerhetsinformation / 2017 / Säkerhetsinformation -- DSA-4037-1 jackson-databind

Säkerhetsbulletin från Debian

DSA-4037-1 jackson-databind -- säkerhetsuppdatering

Rapporterat den:

2017-11-16

Berörda paket:

jackson-databind

Sårbara:

Ja

Referenser i säkerhetsdatabaser:

I Mitres CVE-förteckning: CVE-2017-15095.

Ytterligare information:

Man har upptäckt att jackson-databind, ett Javabibliotek som används för att tolka JSON och andra dataformat, validerar användarindata felaktigt före den deserialiserar: vid uppföljning av DSA-4004-1 för CVE-2017-7525, identifierades ytterligare en uppsättning klasser som osäkra för deserialisering.

För den gamla stabila utgåvan (Jessie) har detta problem rättats i version 2.4.2-2+deb8u2.

För den stabila utgåvan (Stretch) har detta problem rättats i version 2.8.6-1+deb9u2.

Vi rekommenderar att ni uppgraderar era jackson-databind-paket.