したがって、ALAS2023-2026-2081 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。2.15.0から2.18.8、2.21.4、3.1.4まで、PropertyNamingStrategyを使用するJavaレコードは、_renameUsing()が命名方法を適用する前に、POJOPropertiesCollector._removeUnwantedIgnorals()が無視されたコンポーネントを元の暗黙的な名前で記録し、名前を変更されたJSONキーをレコードコンストラクターパラメータに割り当てることができるため、@JsonIgnoreをバイパスする可能性があります。この問題は、バージョン 2.18.8、 2.21.4、 3.1.4 で修正されています。(CVE-2026-59888)

    jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。2.18.0から2.18.9、2.21.5、2.22.1、3.1.5、3.2.1まで、UnwrappedPropertyHandler.processUnwrapped()は、@JsonUnwrappedプロパティのバッファされたJSONを再生し、prop.visibleInView(ctxt.getActiveView())ガードなしでprop.deserializeAndSet()を呼び出します。これにより、@JsonViewと@JsonUnwrappedの両方で注釈が付けられたプロパティが、権限の少ないアクティブビューで攻撃者のJSONから書き込まれる可能性があります。この問題はバージョン 2.18.9、2.21.5、2.22.1、3.1.5、および 3.2.1 で修正されています。(CVE-2026-59889)

    jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。それぞれのリリースラインのバージョン 2.18.9、 2.21.5、 2.22.1、 3.1.5、および 3.2.1 より前では、FromStringDeserializer.Std._deserialize() の java.net.InetAddress ブランチが、攻撃者が制御する入力で InetAddress.getByName() を呼び出し、逆シリアル化中に熱心な DNS 解決を引き起こし、DNSベースのサーバー側リクエスト偽造とホスト内部列挙が有効になります。この問題はバージョン 2.18.9、2.21.5、2.22.1、3.1.5、および 3.2.1 で修正されています。(CVE-2026-77310)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023:jackson-databind(ALAS2023-2026-2081)

medium Nessus プラグイン ID 341908

バージョン 1.2