此更新向后移植来自 commons-collections 3.2.2 的更改，其禁用仿函数类的反序列化，除非将系统属性 org.apache.commons.collections.enableUnsafeSerialization 设置为“true”。这修复了不安全的应用程序中在不审查输入数据的情况下对来自非受信源的对象进行反序列化的漏洞。以下类被视为不安全的类：CloneTransformer、ForClosure、InstantiateFactory、InstantiateTransformer、InvokerTransformer、PrototypeCloneFactory、PrototypeSerializationFactory 和 WhileClosure。

检测

Debian DSA-3403-1：libcommons-collections3-java - 安全更新

high Nessus 插件 ID 87058

未找到变更日志