2023 年 Amazon Linux:jackson-core(ALAS2023-2026-3188)
high Nessus プラグイン ID 365243
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-3188 のアドバイザリに記載されている複数の脆弱性の影響を受けます。FasterXML jackson-core の NumberInput.looksLikeValidNumber() は、2 つの正規表現で文字列化された数値を事前に検証します: PATTERN_FLOAT ([+-]?[0-9]*[\.]?[0-9]+([eE][+-]?[0-9]+)?)、 2.17.0 年以降に存在し、PATTERN_FLOAT_TRAILING_DOT、 2.17.2 年に追加されました。PATTERN_FLOAT、同じ文字クラスに隣接する修飾子を配置するため -- オプションの [0-9]* 実行、オプションのドット、そして必須の [0-9]+ 実行 -- したがって、最終的に一致しない入力は、Java のバックトラッキングエンジンに、桁実行の可能性のあるすべての分割ポイントを再試行させます。
したがって、マッチングコストは入力の長さの2乗とともに増加します。
アプリケーションが数値ターゲット型に逆シリアル化するJSONを供給できる攻撃者は、jackson-databindのデフォルトの文字列から数字への強制(BigDecimal、BigInteger、Double、Floatの場合はStdDeserializerとNumberDeserializers)を使用してこのメソッドに到達します。
StreamReadConstraints.maxStringLength の既定値は 20,000,000 文字であるため、正規表現に到達するまで入力を制限する制約はありません。
報告者によるテストでは、5 回の連続した入力サイズ倍増で O(n^2) が増加し、1 つの 160,000 文字の文字列が 1 回の呼び出しで約 74 秒を費やすことが確認されました。通常の本文サイズの少数の同時リクエストは、サーバーのリクエスト処理スレッドプールを使い果たす可能性があります。
影響を受けるメソッドは 2.17.0 以前には存在しないため、 2.16.x 以前のリリースは影響を受けません。
この修正は、両方の正規表現を手動ロールシングルパススキャンに置き換えます。 (CVE-2026-89407)
FasterXML jackson-core の UTF8DataInputJsonParser._reportInvalidToken() は、上限がないループの StringBuilder にJava識別子文字を追加することで、そのエラーメッセージに対する問題トークンテキストを構築します。UTF8StreamJsonParser を含む 3 つの兄弟パーサーの実装とは異なり、ErrorReportConfiguration.getMaxErrorTokenLength() (デフォルトは 256) とは決して参照しません。したがって、JsonFactory.createParser(DataInput) を通じて作成されたパーサーに提供された無効な形式のトークンがフル累積されます。StreamReadConstraints設定なしは、maxDocumentLengthをDataInputソースにまったく適用できません。累積がReadConstrainedTextBufferをバイパスするため、maxStringLengthはこのパスをカバーしません。報告者は、DataInput パス上の 2,000 万文字の無効な形式のトークンからの 20,000,109 文字の例外メッセージを、InputStream パス上の同一の入力では 367 文字と測定しました。ペイロードをスケーリングすると、StringBuilder がドライブされ、これもバイトから文字への拡張および内部配列の倍増が発生しますが、生のペイロードサイズの何倍にもなり、JVM 全体で OutOfMemoryError が発生する可能性があります。UTF8DataInputJsonParser は、createParser(DataInput) とともに 2.8.0 で導入されました。
2.8.0 より前のリリースには、影響を受けるクラスは含まれていません。 (CVE-2026-89425)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update jackson-core --releasever 2023.12.20261012」または「dnf update --advisory ALAS2023-2026-3188 --releasever 2023.12.20261012」を実行して、お使いのシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3188.html
https://alas.aws.amazon.com/faqs.html
プラグインの詳細
深刻度: High
ID: 365243
ファイル名: al2023_ALAS2023-2026-3188.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/10/12
更新日: 2026/10/12
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.63
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2026-89425
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:jackson-core
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/12
脆弱性公開日: 2026/9/22
参照情報
CVE: CVE-2026-89407, CVE-2026-89425