Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jackson-core のノンブロッキング(非同期)JSON パーサーは、StreamReadConstraints で定義されている maxNumberLength 制約を強制しません(デフォルト: 1000 文字)。非同期パーサーAPIを使用するアプリケーションにJSONを送信できる攻撃者が、任意の長さの数値トークンを提供し、過剰なメモリ割り当てと潜在的なCPU枯渇を引き起こし、サービス拒否を引き起こす可能性があります。同期パーサーはこの制限を正しく適用するため、アプリケーションが使用する解析 API によって制約の適用に一貫性がありません。根本原因:NonBlockingUtf8JsonParserBase および関連するクラスの非同期解析パスが、数値長検証メソッドを決して呼び出しません。
    _finishNumberIntegralPart() などの数値解析メソッドは、長さチェックなしで TextBuffer に数字を集積し、_valueComplete() を呼び出してトークンをファイナライズします。_valueComplete() は、validateIntegerLength() および validateFPLength() が実行される ParserBase のメソッドである resetInt() や resetFloat() を呼び出しません。この検証ステップはスキップされるため、maxNumberLength が非同期コードパスで強制されることはありません。影響:攻撃者が、任意の長い数字を含むJSONドキュメントを非同期パーサーを使用するアプリケーション(たとえば、Spring WebFluxまたはその他のリアクティブアプリケーション)に送信すると、TextBufferで無制限の割り当てとOutOfMemoryErrorが発生する可能性があります。その後、アプリケーションが getBigIntegerValue() または getDecimalValue() を呼び出すと、JVM がさらに O(n^2) BigInteger 解析に拘束され、CPU ベースのサービス拒否が引き起こされる可能性があります。解析のためにデータを送信できる以外の権限やユーザー操作は必要ありません。この問題は、バージョン 2.15.0 から 2.18.5 までおよび 2.19.0 から 2.21.0 までの com.fasterxml.jackson.core:jackson-core に、 3.0.0 から 3.0.x までの tools.jackson.core:jackson-core に影響を与えます。maxNumberLength 設定を定義する StreamReadConstraints は jackson-core 2.15.0で最初に導入されたため、以前のリリースではそのような制約が存在しないために、2.15.0 より前のバージョンは影響を受けません。GHSA-72hv-8253-57qqは、影響を受ける 2.x 範囲の下限を 2.0.0として記録します。(CVE-2026-18401)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-18401

medium Nessus プラグイン ID 332069

バージョン 1.3