Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。2.21.0 年から 2.21.43.1.4 年まで、BeanDeserializer._deserializeUsingPropertyBased では、アクティブビュー(@JsonView)フィルターは作成者プロパティにのみ適用されていました。通常のプロパティバッファリングブランチは、prop.visibleInView(activeView) チェックを実行しませんでした。この無防備なパスを介して、 SetterlessProperty.isMerging() が真のルーティングされたセッターレスコレクション/マッププロパティを返すようにする変更により、制限された@JsonViewで注釈が付けられたセッターレスコレクションは、アクティブビューがそれを除外する場合でも攻撃者の JSON から入力されます。この脆弱性は、2.21.4 および 3.1.4 で修正されています。(CVE-2026-54517)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-54517

medium Nessus プラグイン ID 322427

バージョン 1.5