Mantén seguras las versiones de EOL de Jackson en las aplicaciones Java

ELS for Jackson ofrece parches de seguridad y correcciones de errores seleccionadas para Jackson, la biblioteca de procesamiento de JSON en la que se basa gran parte del ecosistema Java. Abarca versiones desde la antigua línea 1.9.x hasta la 2.17.x, que se distribuyen como sustitutos directos desde un repositorio Maven de TuxCare.

Jackson 1.9.13, 2.8.11, 2.9.10.3, 2.11.1, 2.11.3, 2.12.1, 2.12.2, 2.12.7.1, 2.13.4.2, 2.14.1, 2.14.2, 2.17.1, 2.17.2 y 2.17.3. Los artefactos específicos compatibles con cada versión se enumeran en el TuxCare CVE Tracker.

Jackson-databind tiene un largo historial de vulnerabilidades CVE, muchas de ellas relacionadas con «gadgets» de deserialización polimórfica y el agotamiento de recursos debido a entradas profundamente anidadas, como la CVE-2020-36518. Dado que Spring Boot, los clientes de Kafka, los SDK de la nube y otras innumerables bibliotecas lo incorporan de forma transitiva, una sola versión obsoleta puede provocar la detección de vulnerabilidades en docenas de servicios.

No. Los artefactos modificados por TuxCare son sustitutos directos de las versiones que ya estás utilizando. Solo tienes que configurar las credenciales de TuxCare, añadir el repositorio al archivo pom.xml o build.gradle y dirigir tus dependencias de Jackson (o una sustitución en la gestión de dependencias) a las versiones de TuxCare, como por ejemplo 1.9.13-tuxcare.1. Ejecuta tus pruebas habituales antes de la implementación, como harías con cualquier cambio en las dependencias.

Las vulnerabilidades críticas y altas (CVSS 7.0 y superiores) se tratan en un plazo de 14 días desde su divulgación pública; las medias, en un plazo de 60 días, y las bajas, en un plazo de 90 días. Los problemas comunicados por los clientes reciben una respuesta inicial en un plazo de tres días, y las solicitudes de CVE que quedan fuera del ámbito estándar se revisan en un plazo de tres días laborables.

Sí. TuxCare publica las listas SBOM de CycloneDX y los feeds VEX de CycloneDX para sus paquetes Java en security.tuxcare.com. Los datos VEX indican si cada CVE está resuelta o es explotable para una versión concreta del artefacto, lo que ayuda a los escáneres y a los auditores a identificar la exposición real, en lugar de limitarse a una simple coincidencia de la cadena de versión.

A veces sí se puede, y un pequeño contratiempo suele ser inofensivo. El problema surge cuando Jackson queda limitado por un marco de trabajo, como una versión antigua de Spring Boot, o cuando una actualización implica cambios de comportamiento que impiden la serialización en producción. ELS te permite solucionar las vulnerabilidades detectadas sin desestabilizar la pila del marco de trabajo que depende de esa versión concreta.