AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1791984617アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - jackson-databind は、生文字列を CoreXMLDeserializers.Std._deserialize の DatatypeFactory.newDuration(value) または newXMLGregorianCalendar(value) に逐語的に渡すことで、JSON 文字列を javax.xml.datatype.Duration または javax.xml.datatype.XMLGregorianCalendar フィールドにバインドします。これらのデシリアライザーは、デフォルトでオプトインなしで登録されるため、ポリモーフィック型付けがなく、特別な構成も必要ないプレーンな ObjectMapper または JsonMapper がこのパスに到達します。XML スキーマの語彙文法では、任意の長さの数値コンポーネントが許可されており、JDK はネイティブの BigInteger(String) および BigDecimal(String) コンストラクタ(どちらも桁数が 2 次)を通じて具体化されます。数字はJSON番号トークンではなくJSON文字列トークンの中にあるため、jackson-coreのStreamReadConstraints.maxNumberLengthガードは適用されません。jackson 独自の NumberDeserializers は、文字列化された数値を解析する前に validateIntegerLength または validateFPLength を呼び出しますが、XML データ型デシリアライザーはその事前チェックを省略します。したがって、認証されていない攻撃者が、文字Pの後に数百万桁と文字Yで構成されるDuration値など、数メガバイトの単一のリクエストを送信し、数十秒から数分のシングルスレッドCPU作業を強制する可能性があります。少数の同時リクエストにより、サーバーのワーカースレッドが飽和する可能性があります。これは、2.18.10より前の2.0.0、2.21.6より前の2.19.0、2.22.2より前の2.22.0のcom.fasterxml.jackson.core:jackson-databind、3.1.6より前の3.0.0、3.2.2より前の3.2.0のtools.jackson.core:jackson-databindに影響します。ユーザーは、 2.18.10、 2.21.6、 2.22.2、 3.1.6、または 3.2.2 にアップグレードする必要があります。(CVE-2026-68497)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

AlmaLinux 9.6 [TuxCare] セキュリティ更新プログラム:pki-jackson-databind(ALMALINUX9.6:CLSA-2026:1791984617)

high Nessus プラグイン ID 365782

バージョン 1.1