Debian DSA-3403-1：libcommons-collections3-java - セキュリティ更新

high Nessus プラグイン ID 87058

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

この更新では、common-collections 3.2.2 リリースからの変更がバックポートされます。これにより、システムプロパティ org.apache.commons.collections.enableUnsafeSerialization が「true」に設定されていないかぎり、関数クラスの逆シリアル化が無効になります。これにより、入力データがサニタイズされない信頼できないソースからのオブジェクトを逆シリアル化する、安全でないアプリケーションの脆弱性が修正されます。安全でないと判断されるクラス：CloneTransformer、ForClosure、InstantiateFactory、InstantiateTransformer、InvokerTransformer、PrototypeCloneFactory、PrototypeSerializationFactory、および WhileClosure。

ソリューション

libcommons-collections3-java パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（wheezy）では、この問題はバージョン 3.2.1-5+deb7u1 で修正されています。

安定版（stable）ディストリビューション（jessie）では、この問題はバージョン 3.2.1-7+deb8u1 で修正されています。