Amazon Linux 2023jackson-coreALAS2023-2025-1063

medium Nessus プラグイン ID 241718

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2025-1063 のアドバイザリに記載されている脆弱性の影響を受けます。

Jackson-core には、Jackson Data Processor によって使用されるコア低レベルのインクリメンタルストリーミングパーサーとジェネレーターの抽象化が含まれています。バージョン 2.0.0 以降、バージョン 2.13.0より前のバージョンでは、jackson-core の「JsonLocation._appendSourceDesc」メソッドにある欠陥により、最大 500 バイトの意図しないメモリコンテンツが例外メッセージに含まれる可能性があります。オフセットと長さのあるバイト配列から JSON を解析する際、例外メッセージが、論理的なペイロード開始ではなく、配列の先頭から誤って読み取られます。その結果、Netty や Vert.x などのプールされたバッファまたは再利用されたバッファを使用するシステムで、情報漏洩が発生する可能性があります。この問題は、2021 年 9 月 30 日に PR でリリースされた jackson-core バージョン 2.13.0でサイレントに修正されました #652。全ユーザーは、バージョン 2.13.0 以降にアップグレードする必要があります。すぐにアップグレードが不可能な場合は、アプリケーションは、クライアントへの例外メッセージの漏洩を無効にして、HTTP 応答で例外メッセージの解析を返すのを避けたり、例外のソースインクルージョンを無効にして、Jackson が例外メッセージにソースコンテンツを埋め込まないようにし、漏洩を回避したりすることで、問題を緩和できます。。CVE-2025-49128

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。