リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2801-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    jackson-annotations、jackson-bom、jackson-core、jackson-databind、jackson-dataformats-binary、jackson-modules-base、jackson-parentのこの更新プログラムでは、以下の問題が修正されています

    - CVE-2026-54512:jackson-databindには、任意のクラスのインスタンス化を可能にするジェネリックタイプパラメーターを介してPolymorphicTypeValidatorバイパスがあります(bsc#1268897)。
    - CVE-2026-54513:jackson-databind:BasicPolymorphicTypeValidator における配列サブタイプ許可リストのバイパス(bsc#1268898)。
    - CVE-2026-54514:jackson-databind:InetSocketAddress の逆シリアル化により、eager DNS 解決が発生します(bsc#1268899)。
    - CVE-2026-54515:jackson-databindi:大文字と小文字を区別しない逆シリアル化がプロパティごとの@JsonIgnorePropertiesをバイパスします(bsc#1268902)。
    - jackson-core:ブロッキング、非同期、DataInput パーサーにおけるドキュメントの長さ制限のバイパス(bsc#1268603)。

    jackson-annotations の変更:

    - 2.18.8 への更新
     * 以降変更はありません 2.17.3

    jackson-bom の変更:

    - 2.18.8 への更新
     * 変更 + #68:「jackson-base」2.18.xから「junit」4.x依存関係を削除し、junit5 の移行を支援します + 「base/pom.xml」は、「${project.version}」の「cleansed」バージョンに対して「${project.version.underscore}」を作成します

    jackson-core の変更:

    - 2.18.8 への更新
     * 2.18.8 + #1611 の変更:非同期パーサーのストリーミング整数パスで数値長のバリデーターを適用します
     * 2.18.7 の変更 + #1570:「StreamReadConstraints .getMaxDocumentLength()」が設定されている場合、「DataInput」からの解析が失敗します(bsc#1268603、GHSA-2m67-wjpj-xhg9) + #1600:jar のサードパーティのライセンスを作り替えます + #1602:「UTF8DataInputJsonParser」は、「StreamReadConstraints.maxNameLength」制限を強制する必要があります
     * 2.18.6 の変更 + #1512:「UTF8DataInputJsonParser」に対する数値解析の修正 + #1548:「StreamReadConstraints.maxDocumentLength」は、固定バッファでパーサーを作成するときにチェックされません + #1555:ノンブロッキング(非同期)パーサーに対して「StreamReadConstraints.maxNumberLength」を強制します
     * 2.18.5 の変更 + #1433:現在のトークンが非数値の場合に、「JsonParser#getNumberType()」は null を返す代わりに「JsonParseException」をスローします + #1446:「com.fasterxml.jackson.core:jackson-core」(「FastDoubleParser」から)からの「java.lang.foreign」への無効なパッケージ参照
     * 2.18.3 の変更 + #1391:後の数値を解析する際に、パーサーが古い数値の状態を読み戻すことができる問題を修正します + #1397:Jackson は、特別な JSON 構造および既存の無限値の場合、追加値を無限に変更します + #1398:カスタムの characterEscape が使用されている場合、機能 COMBINE_UNICODE_SURROGATES_IN_UTF8 が機能しない問題を修正します
     * 2.18.2 + #1359 の変更:「JsonWriteFeature.COMBINE_UNICODE_SURROGATES_IN_UTF8」が有効な場合に、非サロゲート文字が不適切に結合されます
     * 2.18.1 + #1353 の変更:fastdoubleparser を使用 1.0.90
     * 2.18の変更。
     + #223:「UTF8JsonGenerator」は補助文字をサロゲートペアとして書き込みます:4 バイトのエンコーディングを使用する必要があります + #1230:「TextBuffer」からの「float」および「double」解析のパフォーマンスを改善 + #1251:「InternCache」は、「ReentrantLock」と同期したものを置換します
     - キャッシュサイズ制限は、パフォーマンスの理由から厳格に実施されなくなりましたが、この制限については決して行き過ぎるべきではありません + #1252:「ReentrantLock」と同期した「ThreadLocalBufferManager」を置換 + #1257:InternCache のデフォルト最大サイズを 100 から 200 に引き上げます + #1262:「RecyclerPool」に診断メソッド「pooledCount()」を追加 + #1264:シェーディングされた「ch.randelshofer:fastdoubleparser」クラスの名前を変更し、ダウンストリームの消費者による使用を防止します + #1271: 2.18 の「LockFreePool」実装を廃止します( 3.0 から削除)+ #1274:「NUL」で破損したキー、JSON シリアル化の値 + #1277:FastDoubleParser に Java 22 最適化を追加して戻します + #1284:「JsonParser.getDoubleValue()/getFloatValue() /getDecimalValue()」を最適化して、文字列割り当てを回避します + #1305:「WriterBasedJsonGenerator」のヘルパーメソッドを非最終的にし、オーバーライドを許可します + #1310:新しい「StreamReadConstraints」(「maxTokenCount」)を追加して、ドキュメントごとに許可されるトークンの最大数を制限します# + #1331:「BigDecimal」デコーディングの問題を修正するために FastDoubleParser v1.0.1 に更新してください

    jackson-databind の変更点:

    - 2.18.8 への更新
     * 2.18.8 の変更 + #5950:「UUIDeserializer」エラー処理の改善 + #5951:「InetSocketAddress」逆シリアル化の改善(bsc#1268899、 CVE-2026-54514) + #5969:「@JsonView」バイパスが一部の「setterless」クリエイタープロパティでバイパスされます + #5971:ラップされていないクリエイターパラメーターの「@JsonView」バイパスが + #5974:「PropertyNamingStrategy」で無視されるレコードプロパティの「@JsonIgnore」 + #5981:「BasicPolymorphicTypeValidator」設定「allowIfSubTypeIsArray()」は要素タイプを検証する必要があります(bsc#1268898、 CVE-2026-54513) + #5988:「PolymorphicTypeValidator」はジェネリック型パラメーターも検証する必要があります(bsc#1268897、 CVE-2026-54512) + #5993:「UPPER_SNAKE_CASE」/「LOWER_CASE」JVM デフォルトロケールを使用した「NamingStrategyImpls」の折り畳みケース(Turkish-I バグ)
     * 2.18.4 + #4628 の変更:レコードプロパティの「@JsonIgnore」および「@JsonProperty.access=READ_ONLY」が逆シリアル化で無視される + #5049:単純な java レコードで作成者プロパティ「b」(インデックス 0 対 1)が重複する
     * 2.18.3 + #4444 の変更:「@JsonDeserialize(keyUsing = ...)」でクラスで指定された「KeyDeserializer」が、「ObjectMapper」で指定された「KeyDeserializer」によって上書きされます。
     + #4827:サブクラス化された Throwable の逆シリアル化が v2.18.0 以降に失敗する - プロパティ「cause」に対するクリエイターインデックスがありません + #4844:「StdDeserializer」による「null」wrt を処理するラップされた配列を修正 + #4848:「StringCollectionDeserializer」での型汚染を回避 + #4860:「ConstructorDetector.USE_PROPERTIES_BASED」は、 2.18 以降、複数のコンストラクターでは動作しない + #4878:Converter(StdDelegatingSerializer)でマップをシリアル化すると、キーシリアライザー + #4908 がないため NullPointerException がスローされます:@JsonCreatorでの逆シリアル化の挙動の変化、 2.17 と 2.18 の間の@ConstructorProperties + #4917:「@JsonCreator」使用時の「BigDecimal」逆シリアル化の問題 + #4920:Bean プロパティを収集するとき、抽象型では Creator プロパティが無視され、AsExternalTypeDeserializer が破損します + #4922:カスタムマップによる「@JsonMerge」の失敗 + #4932:「MissingNode」の変換により、「JsonProcessingException」がスローされます
     * 2.18.2 の変更 + #4733:特定のタイプの Enum 値に対するタイプ ID の誤ったシリアル化 + #4742:ビルダー、外部タイプ ID による逆シリアル化、「@JsonCreator」の失敗 + #4777:「StdValueInstantiator.withArgsCreator」が引数のないクリエイターに対して設定されるようになりました + #4783 @JsonMerge の誤った動作の可能性 + #4787:「StdDelegatingDeserializer」の間違った「String.format()」が実際のエラーを隠します + #4788:「EnumFeature.WRITE_ENUMS_TO_LOWERCASE」が「@JsonProperty」値をオーバーライドします + #4790:「setter」メソッドに関する「@JsonAnySetter」の問題を修正( #4639 に関連) + #4807:「FactoryBasedEnumDeserializer」を改良し、XML モジュールとの動作を改善します + #4810:renamed プロパティが失敗する「@JsonCreator」を使用した逆シリアル化( 2.18 年以降)
     * 2.18.1 の変更 + #4508:Kotlin データクラスで逆シリアル化された JsonAnySetter フィールドが null + #4639:認識されないプロパティが JSON で最後に認識されるプロパティより前に宣言された場合、認識されないプロパティを無視するフィールドの@JsonAnySetter + #4718:「java.time.DateTimeException」のシリアル化の試行で失敗しないはずです + #4724:レコード、 2.17 と 2.18 の間の「@JsonCreator」と「@JsonValue」による逆シリアル化の挙動の変化 + #4727:Eclipse には、 2.18.0 jar での「module-info」クラス「lost」による問題があります + #4741:POJO で「Include.NON_DEFAULT」設定が使用されるとき、デフォルトが「null」の場合、空の値は json に含まれません + #4749:「StdDelegatingSerializer#serializeWithType」が間違った引数でシリアライザーを検索する際の問題を修正しました
     * 2.18.0 の変更 + #562:「@JsonAnySetter」が Creators を通過することを許可 + #806:「NamingStrategy」、暗黙の名前の creator メソッドに関する問題 + #2977:「FAIL_ON_MISSING_PRIMITIVE_PROPERTIES」およびフィールドレベル「@JsonProperty」の互換性がない + #3120:「ArrayNode.elements()」から「ListIterator」を返す + #3241:「constructorDetector」が null 許容に関して「defaultSetterInfo」を無効にする模様 + #3439:逆シリアル化 + #4085 後、レコード「@JsonAnySetter」値が null になるJava:「@JsonView」はレコードのクラスレベルで機能しません + #4119:逆シリアル化が「access=READ_ONLY」のあるコンストラクタープロパティを持つレコードを使用する場合の例外 + #4356:「BeanDeserializerModifier::updateBuilder()」が Creator メソッドを持つ Bean に対して機能しません + #4407:「null」タイプ ID 処理が「writeTypePrefix()」で機能しません + #4452:「@JsonProperty」がレコードの「@JsonCreator」でフィールド名を適切にシリアル化しません + #4453:JSON 整数が、パラメータータイプ「double」の単一引数コンストラクターに逆シリアル化できるようにします + #4456:「DeserializerCache」のロックを修正します + #4458:「BeanDeserializerBase」からの同期されたブロックを作り替えます + #4464:「Include.NON_DEFAULT」設定を使用すると、「isEmpty()」メソッドがシリアライザで呼び出されません + #4472:「TypeDeserializerBase」の同期ブロックが作り替えられます + #4483:BeanSerializer.serialize() メソッドの「final」を削除します + #4515:Jackson の Bean プロパティイントロスペクションロジックを書き換えます 2.x + #4545:「@JsonCreator」、「@JsonProperty」および javac の「-parameters」による予期しない逆シリアル化の挙動 + #4570:「ObjectMapper.canDeserialize()」/「ObjectMapper .canSerialize()」を廃止します + #4580:「MapperFeature」を追加します。ソートに Creator プロパティの宣言順序を使用するための SORT_CREATOR_PROPERTIES_BY_DECLARATION_ORDER' + #4584:Kotlin(および類似する)データクラスの「プライマリ」コンストラクターを検出するための拡張ポイントを提供 + #4602:BeanDeserializerBase::d eserializeFromObjectUsingNonDefault() の _arrayDelegateDeserializer の誤用の可能性 + #4617:レコードプロパティのシリアル化順序が保持されない + #4626:ゲッターオーバーライドがある場合に、逆シリアル化に対してレコードプロパティの「@JsonIgnore」が無視される + #4630:ゲッターオーバーライドがある場合、レコードをシリアル化する際に「@JsonIncludeProperties」、「@JsonIgnoreProperties」が無視されます + #4634:コンストラクターパラメーターとフィールドの両方に注釈がつけられている場合に「@JsonAnySetter」が機能しません + #4678:Javaレコードが「MapperFeature」でシリアル化されません。REQUIRE_SETTERS_FOR_GETTERS' + #4688:引数なしの「@JsonCreator(mode = DELEGATING)」による逆シリアル化を許可する必要があります + #4694:多数の小数を持つ「BigDecimal」の逆シリアル化により、不適切な値になります + #4699:「TokenBuffer」の中の「writeNumber()」メソッドをさらに追加します + #4709:「toArrayNode()」実装で「JacksonCollectors」を追加します + #5962 を修正:大文字と小文字を区別しない逆シリアル化で、間違った@JsonIgnorePropertiesが使用される可能性があります(bsc#1268902、 CVE-2026-54515)
    - Maven 4 にある「Not fully interpolated version」(バージョンが完全に補間されていません)エラーを修正します

    jackson-dataformats-binary の変更:

    - 2.18.8 への更新
     * 2.18.8 + #696 の変更:(ion)Ion デコーダー(「BigDecimal」および/または「BigInteger」用)における不完全な数値長の検証
     * 2.18.6 の変更 + #645:(avro)Avro コア 1.12.1 の使用を可能にするために Avro の「Schema.Parser() .setValidate()」の使用を削除します(2.x) + #649:(cbor、smile)固定バッファでパーサーを作成するときに「StreamReadConstraints.maxDocumentLength」がチェックされません + #651:(smile)Smile バックエンドが「StreamReadConstraints.maxTokenCount」をサポートするようにします + #652:(cbor)CBOR バックエンドがサポートするようにします + 「ProtobufGenerator._reportEnumError()」ヘルパーメソッドに対する軽微な修正
     * 2.18.5 の変更 + #599:(cbor)無視プロパティで stringref が有効な CBOR を逆シリアル化できません + #623:(ion)「ion-java」dep を 1.11.11 にアップグレードします( 1.11.10 から)
     * 2.18.4 の変更 + #569:(ion)「IonParser」は、一部の「long」値の解析に失敗し、そうでないときに範囲外であると述べます + #584:(protobuf)ネスト化された Protobuf オブジェクトに「JsonToken.END_OBJECT」がありません +(ion)「ion-java」を 1.11.10 にアップグレード( 1.11.9 から)
     * 2.18.3 + #541 の変更:(cbor、protobuf、smile)「SmileParser.getValueAsString()」FIELD_NAMEバグ
     * 2.18.1 + #518 の変更:CBOR 文字列値の終端を越えて読み取るべきではありません
     * 2.18.0 の変更 + #167:(avro)Avro との非互換性 >=1.9.0 (Avro 1.11.3 にアップグレード) + #484:(protobuf)「ProtobufMapper」の同期を修正 + #494:(avro)Avro スキーマ生成:Java Enum プロパティを Avro 文字列値にマッピングすることを許可 + #508:(avro)シリアル化の「specificData」フィールドを無視 + #509:IonValueMapper.builder() が実装されておらず、モジュールが登録されない
     * (ion)「ion-java」を(1.11.8 から)1.11.9 値にアップグレードします

    jackson-modules-base の変更:

    - 2.18.8 にアップグレードします
     * 以降変更はありません 2.18.0
     * 2.18.0 の変更 + #233:(jaxb)jackson-module-jaxb-annotations の JAX-RS 2.2 を容認します。これにより、 2.2 を使用する機能とともに Liberty に展開できます + #248:(android-record)jClass の注釈と多態的な型が、Android レコードフィールドを逆シリアル化する際に無視されます + #251:(android-record)レコードが配列とジェネリック型の両方を使用する場合、コンストラクターが認識されません

    jackson-parent の変更:

    - 2.18.4 への更新
     * 2.18.4 の変更 + 最新の「oss-parent」への更新(69)
     * 2.18.3 の変更 + 最新の「oss-parent」への更新(68) + Sonatype Central Portal リポジトリ経由の公開に切り替え
     * 2.18.2 の変更 + 最新の「oss-parent」(66)への更新、Sonatype Central Portal の将来仕様
     * 2.18.1 + #15 の変更:Eclipse の問題を回避するために、「moditect-maven-plugin」を 1.2.2 から 1.1.0 にダウングレードするためのオーバーライドを追加します
     * 2.18 の変更 + oss-parent 61 への更新(プラグインバージョン更新)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15:jackson-annotations/jackson-core/jackson-databind/etc(SUSE-SU-2026:2801-1)

high Nessus プラグイン ID 325998

バージョン 1.2