SUSE SLED15:jackson-annotations/jackson-core/jackson-databind/etc(SUSE-SU-2026:4394-1)
high Nessus プラグイン ID 351412
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4394-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
- CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
- CVE-2026-68495:CBOR パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282639)。
- CVE-2026-68496:Smile パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282640)。
- CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
- CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
- CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。
jackson-annotations の変更:
- 2.18.11 への更新
jackson-bom の変更:
- 2.18.11 への更新
jackson-core の変更:
- 2.18.11 への更新
* #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
* #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
* #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
* #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します
jackson-databind の変更点:
- 2.18.11 への更新
* #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
* #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
* #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
* #6099:TypeFactory.findClass() で初期化なしのクラスを解決
* #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
* #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
* #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
* #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
* #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します
jackson-dataformat-xml に対する変更:
- 2.18.11 への更新
* past-JDK-8 バイトコードの生成を回避するためにビルドを修正します
* #891:FromXmlParser で StreamReadConstraints.maxNestingDepth を強制します
jackson-dataformats-binary の変更:
- 2.18.11 への更新
* #783:(protobuf)ProtobufParser の StreamReadConstraints.maxDocumentLength をサポートします
* #785:(avro)Avro パーサーにおいて StreamReadConstraints.maxDocumentLength および maxTokenCount をサポートします
* #803:(ion)Ion パーサーの StreamReadConstraints.maxNestingDepth をサポートします( #358 の部分的修正)
* #805:(ion)Ion パーサーの StreamReadConstraints.maxDocumentLength をサポートします( #358 の部分的修正)
* #725:(cbor)CBOR パーサーに対して強制された maxNameLength 制限を確実に実施する(bsc#1282639、 CVE-2026-68495)
* #726:(smile)Smile パーサーに対して強制された maxNameLength 制限を確実に実行します(bsc#1282640、 CVE-2026-68496)
* #727:(cbor)CBORParser.nextFieldName(SerializableString) が、5 ビット長のマーカー 23 と 24 を混同します(「1 バイト長のサフィックスが続く」)
* #728:(cbor)CBORParser.nextFieldName(SerializableString) が、ファストパスのミスでオブジェクトエントリスロットを 2 回消費し、特定の長さのオブジェクトを切り捨てます
* #733:(cbor)長い「文字列」が「stringref」参照テーブルに追加されず、以下の参照が破損します
* #735:(cbor)「stringref」property-name パスが、実際の長さの代わりに 5 ビットの長さのマーカーを shouldReferenceString() に渡します
* #736:(cbor)Long Object プロパティ名が「stringref」参照テーブルに 2 回追加されました
jackson-modules-base の変更:
- 2.18.11 への更新
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/1273856
https://bugzilla.suse.com/1273857
https://bugzilla.suse.com/1277883
https://bugzilla.suse.com/1278008
https://bugzilla.suse.com/1280125
https://bugzilla.suse.com/1282491
https://bugzilla.suse.com/1282492
https://bugzilla.suse.com/1282505
https://bugzilla.suse.com/1282639
https://bugzilla.suse.com/1282640
https://bugzilla.suse.com/1282641
https://bugzilla.suse.com/1282645
https://www.suse.com/security/cve/CVE-2026-18401
https://www.suse.com/security/cve/CVE-2026-19032
https://www.suse.com/security/cve/CVE-2026-68494
https://www.suse.com/security/cve/CVE-2026-68495
https://www.suse.com/security/cve/CVE-2026-68496
https://www.suse.com/security/cve/CVE-2026-68497
https://www.suse.com/security/cve/CVE-2026-68498
https://www.suse.com/security/cve/CVE-2026-83557
https://www.suse.com/security/cve/CVE-2026-89407
https://www.suse.com/security/cve/CVE-2026-89425
https://www.suse.com/security/cve/CVE-2026-91776
プラグインの詳細
深刻度: High
ID: 351412
ファイル名: suse_SU-2026-4394-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/9/30
更新日: 2026/9/30
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5
パーセンタイル: 93.18
CVSS v2
リスクファクター: Medium
基本値: 5.1
現状値: 3.8
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2026-83557
CVSS v3
リスクファクター: Medium
基本値: 5.6
現状値: 4.9
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 8.7
Threat Score: 6.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-68494
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:jackson-annotations, p-cpe:/a:novell:suse_linux:jackson-core, p-cpe:/a:novell:suse_linux:jackson-databind, p-cpe:/a:novell:suse_linux:jackson-dataformat-cbor, p-cpe:/a:novell:suse_linux:jackson-dataformat-xml
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/9/29
脆弱性公開日: 2026/2/28
参照情報
CVE: CVE-2026-18401, CVE-2026-19032, CVE-2026-68494, CVE-2026-68495, CVE-2026-68496, CVE-2026-68497, CVE-2026-68498, CVE-2026-83557, CVE-2026-89407, CVE-2026-89425, CVE-2026-91776, CVE-2026-91777
SuSE: SUSE-SU-2026:4394-1