openSUSE 16:jackson-annotations/jackson-annotations-javadoc/jackson-core/etc(openSUSE-SU-2026:22034-1)
high Nessus プラグイン ID 364341
Language:
概要
リモートの openSUSE ホストに 1 つ以上のセキュリティアップデートがありません。説明
リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22034-1 アドバイザリで言及されています。- CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
- CVE-2026-19032:「java.nio.file.Path」のデシリアライザーが、URI スキーマを制限せずに攻撃者が指定した URI を解決します(bsc#1277883)。
- CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
- CVE-2026-68497:このため、認証されていない攻撃者が、数メガバイト(bsc#1280125)の単一のリクエストを送信する可能性があります。
- CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
- CVE-2026-83557:不完全な「PolymorphicTypeValidator」拒否リストにより、任意の「比較可能な」逆シリアル化が可能になります(bsc#1278008)。
- CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
- CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。
- CVE-2026-91776:「TypeDeserializerBase._findDeserializer()」は、解決された逆シリアル化子を、攻撃者が指定した未加工のタイプ ID の下にキャッシュします。これにより、特定の構成で、キャッシュが際限なく増加する可能性があります(bsc#1282491)。
- CVE-2026-91777:「@JsonIdentityInfo」オブジェクト ID の前方参照完了は、解決されたすべての ID について保留中の参照アキュムレーターの線形スキャンを実行します。これにより、逆シリアル化中に CPU の二次仕事が発生する可能性があります(bsc#1282492)。
jackson-annotations の変更:
- 2.18.11 への更新
jackson-core の変更:
- 2.18.11 への更新
* #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
* #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
* #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
* #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します
jackson-databind の変更点:
- 2.18.11 への更新
* #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
* #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
* #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
* #6099:TypeFactory.findClass() で初期化なしのクラスを解決
* #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
* #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
* #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
* #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
* #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/1273856
https://bugzilla.suse.com/1273857
https://bugzilla.suse.com/1277883
https://bugzilla.suse.com/1278008
https://bugzilla.suse.com/1280125
https://bugzilla.suse.com/1282491
https://bugzilla.suse.com/1282492
https://bugzilla.suse.com/1282505
https://bugzilla.suse.com/1282641
https://bugzilla.suse.com/1282645
https://www.suse.com/security/cve/CVE-2026-18401
https://www.suse.com/security/cve/CVE-2026-19032
https://www.suse.com/security/cve/CVE-2026-68494
https://www.suse.com/security/cve/CVE-2026-68497
https://www.suse.com/security/cve/CVE-2026-68498
https://www.suse.com/security/cve/CVE-2026-83557
https://www.suse.com/security/cve/CVE-2026-89407
https://www.suse.com/security/cve/CVE-2026-89425
プラグインの詳細
深刻度: High
ID: 364341
ファイル名: openSUSE-2026-22034-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/10/9
更新日: 2026/10/9
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5
パーセンタイル: 93.18
CVSS v2
リスクファクター: Medium
基本値: 5.1
現状値: 3.8
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2026-83557
CVSS v3
リスクファクター: Medium
基本値: 5.6
現状値: 4.9
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 8.7
Threat Score: 6.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-68494
脆弱性情報
CPE: cpe:/o:novell:opensuse:16.0, p-cpe:/a:novell:opensuse:jackson-annotations-javadoc, p-cpe:/a:novell:opensuse:jackson-annotations, p-cpe:/a:novell:opensuse:jackson-core-javadoc, p-cpe:/a:novell:opensuse:jackson-core, p-cpe:/a:novell:opensuse:jackson-databind-javadoc, p-cpe:/a:novell:opensuse:jackson-databind
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/6
脆弱性公開日: 2026/2/28
参照情報
CVE: CVE-2026-18401, CVE-2026-19032, CVE-2026-68494, CVE-2026-68497, CVE-2026-68498, CVE-2026-83557, CVE-2026-89407, CVE-2026-89425, CVE-2026-91776, CVE-2026-91777