Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jackson-core 2.18.6 および CVE-2026-18401 の 2.21.1 でリリースされた修正(GHSA-72hv-8253-57qq、ノンブロッキングパーサーにおける数値長制約のバイパス)は不完全です。このレコードは残りのバイパスをカバーします。以前の修正では、 validateIntegerLength() を新しい _setIntLength() ヘルパーに配線し、数値の整数部分が決まる場所(終端バイトが到着し、「.」または「e」/「E」が表示される、または入力が完全にバッファされた値内で終了するなど、あらゆる場所で呼び出されます)。これは、MINOR_NUMBER_INTEGER_DIGITSマイナーな状態のままパーサーが入力を使い果たし、呼び出し元にNOT_AVAILABLEを返す、攻撃者関連のパスでは呼び出されませんでした。その結果、ターミネータバイトを一度も送信せずにJSONを多くの小さなチャンクでノンブロッキングパーサーにストリーミングする攻撃者は、パーサーをいつまでもMINOR_NUMBER_INTEGER_DIGITS内部に留めておくことになります。
    _textBuffer.expandCurrentSegment() は各チャンクでアキュムレータを増大しますが、validateIntegerLength() は決して呼び出されません。アキュムレータは、maxNumberLength(デフォルトで 1000)ではなく maxStringLength(デフォルトで 20 MiB)によってのみバウンドされ、ドキュメント化されている制限の約 20,000 倍の増幅になります。Java 文字の値は 2 バイトを占めるため、値の完了時にバリデーターが最終的に起動する前に、1 つの接続を約 40 MiB のヒープに駆動できます。等価な分数パスコードは正しいです。
    _finishFloatFraction() は、NOT_AVAILABLE が返される前に _setFractLength() を呼び出します。呼び出しがない場合は、NonBlockingUtf8JsonParserBase の _startPositiveNumber()、_startNegativeNumber()、_finishNumberIntegralPart() の整数パスに影響を与えます。影響:Spring WebFlux/Reactor、Quarkus、Helidon、Vert.x などのリアクティブフレームワークは、インバウンドの HTTP または gRPC バイトが到着したときに、非同期パーサーにフィードします。これはまさに必要なチャンクフィード形状です。StreamReadConstraints.maxNumberLength を設定し、数値ごとにメモリを制限することを期待する演算子は、その保証を受けません。同時接続ごとにメモリが蓄積され、攻撃者が制御する同時実行性が JVM ヒープを使い果たす可能性があります。同期パーサー(UTF8StreamJsonParser、ReaderBasedJsonParser)と完全な入力で動作する非同期パーサーは影響を受けません。悪用に必要なのは、解析エンドポイントにデータをストリーミングする機能のみです。特権やユーザー操作は必要ありません。この問題は、バージョン 2.15.0 から 2.18.7 まで、および 2.19.0 から 2.21.3 までの com.fasterxml.jackson.core:jackson-core、 3.0.0 から 3.1.3 までの tools.jackson.core:jackson-core に影響を与えます。maxNumberLength 設定を定義する StreamReadConstraints は jackson-core 2.15.0で最初に導入されたため、以前のリリースではそのような制約が存在しないために、2.15.0 より前のバージョンは影響を受けません。GHSA-r7wm-3cxj-wff9は、影響を受ける 2.x 範囲を下限なしで示しています。2.22.xおよび3.2.xリリースラインは影響を受けません。これらのブランチは、2026 年 5 月 21 日に修正コミットが行われた後に作成されたため、最初のリリース (2.22.0、2026-06-03 、および 3.2.0、2026-06-08 のタグ)から含まれています。(CVE-2026-68494)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2026:53644アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.4.25 のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.4.24 に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.4.25 リリースノート』を参照してください。

    セキュリティ修正:

    * netty-codec-redis: Netty: 悪意のある Redis 配列ヘッダーによるサービス拒否 (CVE-2026-50011)

    * netty-handler: Netty: TLS ハンドシェイクのバッファ早期割り当てによるサービス拒否 (CVE-2026-45416)

    * netty-codec-redis: netty-codec-redis: 深くネスト化された配列を持つ細工された Redis ペイロードを介したサービス拒否 (CVE-2026-44250)

    * netty-codec-redis: netty-codec-redis: 細工された Redis ペイロードを介したサービス拒否 (CVE-2026-44890)

    * netty-transport-sctp: Netty-transport-sctp: SctpMessage フラグメントからの無制限のメモリ増加によるサービス拒否 (CVE-2026-46340)

    * netty-resolver-dns: Netty: 不適切な CNAME レコード検証による情報漏洩とデータ操作 (CVE-2026-45674)

    * netty-handler: Netty: トラストマネージャーを不適切に処理することで、ホスト名検証のバイパスが引き起こされる (CVE-2026-50010)

    * netty-codec-redis: Netty のライフサイクルクリーンアップの欠落により、プールされた RedisArrayAggregator での ByteBuf リークが発生 (CVE-2026-48006)

    * netty-resolver-dns: Netty における NS レコードに対する Bailiwick 検証が不十分 (CVE-2026-47691)

    * netty-codec-haproxy: Netty HAProxy PROXY protocol v2 codec: 細工された PROXY プロトコルヘッダーからのメモリ漏洩によるサービス拒否 (CVE-2026-48059)

    * netty-codec-http2: netty-codec-http2: リソース漏洩によるサービス拒否 (CVE-2026-48043)

    * netty-codec-haproxy: Netty-codec-haproxy: 無効な形式の HAProxy メッセージによるサービス拒否 (CVE-2026-44893)

    * netty-codec-http: Netty: 無効な形式の Transfer-Encoding 解析を通じたリクエストスマグリング (CVE-2026-42585)

    * netty-codec-http2: Netty: HTTP コンテンツ展開における際限のないメモリ割り当てによるサービス拒否 (CVE-2026-42587)

    * netty-codec-http: Netty: HTTP コンテンツ展開における際限のないメモリ割り当てによるサービス拒否 (CVE-2026-42587)

    * netty-codec-http: Netty: URI 操作および CRLF インジェクションを通じた HTTP リクエストスマグリング (CVE-2026-41417)

    * netty-handler-proxy: Netty: HttpProxyHandler 経由の HTTP ヘッダー注入により検証が無効になる (CVE-2026-42578)

    * netty-codec-http: Netty: HTTP 競合する HTTP/1.0 ヘッダーの不適切な処理によるリクエストスマグリング (CVE-2026-42581)

    * netty-codec-http: Netty: 不適切な HTTP 応答解析により、データ混乱が発生 (CVE-2026-42584)

    * netty-codec-dns: Netty: DNS ドメイン名制約の不適切な実施による整合性への重大な影響 (CVE-2026-42579)

    * picketlink-federation: Picketlink SAML の unsolicited-response における認証バイパス (CVE-2026-10579)

    * bcprov-jdk18on: LDAPStoreHelper.java における LDAP インジェクションの脆弱性 (CVE-2026-0636)

    * bcprov-jdk15on: LDAPStoreHelper.java における LDAP インジェクションの脆弱性 (CVE-2026-0636)

    * bcprov-jdk15: LDAPStoreHelper.java における LDAP インジェクションの脆弱性 (CVE-2026-0636)

    * bcprov-jdk12: LDAPStoreHelper.java における LDAP インジェクションの脆弱性 (CVE-2026-0636)

    * bcpg-jdk18on: 無制限の PGP AEAD チャンクサイズにより事前認証のリソース枯渇が発生 (CVE-2026-3505)

    * bcpg-jdk15on: 無制限の PGP AEAD チャンクサイズにより事前認証のリソース枯渇が発生 (CVE-2026-3505)

    * bcpkix-jdk18on: PKIX ドラフト CompositeVerifier が空の署名シーケンスを有効として受け入れる (CVE-2026-5588)

    * bcpkix-jdk15on: PKIX ドラフト CompositeVerifier が空の署名シーケンスを有効として受け入れる (CVE-2026-5588)

    * bcprov-jdk18on: GOSTCTR 実装は 255 ブロックを超えるデータを正しく処理できない (CVE-2025-14813)

    * bcprov-jdk15on: GOSTCTR 実装は 255 ブロックを超えるデータを正しく処理できない (CVE-2025-14813)

    * bcprov-jdk15: GOSTCTR 実装は 255 ブロックを超えるデータを正しく処理できない (CVE-2025-14813)

    * bcprov-jdk12: GOSTCTR 実装は 255 ブロックを超えるデータを正しく処理できない (CVE-2025-14813)

    * bcprov-jdk15: 非定数時間比較による秘密鍵の漏洩 (CVE-2026-5598)

    * bcprov-jdk12: 非定数時間比較による秘密鍵の漏洩 (CVE-2026-5598)

    * artemis-server: Apache Artemis、Apache ActiveMQ Artemis: 認証の欠如によるメッセージ注入および情報漏洩 (CVE-2026-27446)

    * undertow-core: Undertow: AJP ssl_cert/is_ssl 偽造による認証バイパス (CVE-2026-15554)

    * wildfly-clustering-infinispan-marshalling: Unfiltered River Unmarshaller による Jboss の逆シリアル化 RCE (CVE-2026-15555)

    * picketlink-federation: 欠落しているアサーションによる picketlink SAML 2.0 認証バイパス (CVE-2026-15556)

    * openjdk-orb: EAP の IIOP 経由の認証されていないクラスのロード (CVE-2026-15560)

    * undertow-core: EAP の Undertow におけるチャンクトレーラーの制限の欠如による OOM (CVE-2026-15561)

    * jboss-remoting: jboss-remoting: MessageReader の整数オーバーフローにより、事前認証のサービス拒否が発生 (CVE-2026-15562)

    * wildfly-iiop-openjdk: EAP の IIOP NameService に認証がないと、MITM または DoS が発生 (CVE-2026-15563)

    * jsf-impl: mojarra: ui:include の EL インジェクションによる、EAP JSF アプリケーションの認証されていない RCE (CVE-2026-46581)

    * netty-handler: netty-handler: 不適切なマスキング操作による IPv6 サブネットルールのバイパス (CVE-2026-44249)

    * jackson-core: 非同期 JSON パーサーの不完全な修正によるサービス拒否 (CVE-2026-68494)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-2067 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    jackson-core の非ブロック (非同期) JSON パーサーは、StreamReadConstraints で定義された maxNumberLength 制約 (デフォルト: 1000 文字) を強制しません。非同期パーサーAPIを使用するアプリケーションにJSONを送信できる攻撃者が、任意の長さの数値トークンを提供し、過剰なメモリ割り当てと潜在的なCPU枯渇を引き起こし、サービス拒否を引き起こす可能性があります。



    同期パーサーはこの制限を正しく適用するため、アプリケーションが使用する解析 API によって制約の適用に一貫性がありません。



    根本原因:NonBlockingUtf8JsonParserBase および関連するクラスの非同期解析パスが、数値長検証メソッドを決して呼び出しません。_finishNumberIntegralPart() などの数値解析メソッドは、長さチェックなしで TextBuffer に数字を集積し、_valueComplete() を呼び出してトークンをファイナライズします。
    _valueComplete() は、validateIntegerLength() および validateFPLength() が実行される ParserBase のメソッドである resetInt() や resetFloat() を呼び出しません。この検証ステップはスキップされるため、maxNumberLength が非同期コードパスで強制されることはありません。



    影響:攻撃者が、任意の長い数字を含むJSONドキュメントを非同期パーサーを使用するアプリケーション(たとえば、Spring WebFluxまたはその他のリアクティブアプリケーション)に送信すると、TextBufferで無制限の割り当てとOutOfMemoryErrorが発生する可能性があります。その後、アプリケーションが getBigIntegerValue() または getDecimalValue() を呼び出すと、JVM がさらに O(n^2) BigInteger 解析に拘束され、CPU ベースのサービス拒否が引き起こされる可能性があります。



    解析のためにデータを送信できる以外の権限やユーザー操作は必要ありません。



    この問題は、バージョン 2.15.0 から 2.18.5 までおよび 2.19.0 から 2.21.0 までの com.fasterxml.jackson.core:jackson-core に、 3.0.0 から 3.0.x までの tools.jackson.core:jackson-core に影響を与えます。



    maxNumberLength 設定を定義する StreamReadConstraints は jackson-core 2.15.0で最初に導入されたため、以前のリリースではそのような制約が存在しないために、2.15.0 より前のバージョンは影響を受けません。GHSA-72hv-8253-57qqは、影響を受ける 2.x 範囲の下限を 2.0.0として記録します。(CVE-2026-18401)

    jackson-core 2.18.6 および 2.21.1 for CVE-2026-18401 でリリースされた修正(GHSA-72hv-8253-57qq、ノンブロッキングパーサーにおける数値長制約のバイパス)は不完全です。このレコードは残りのバイパスをカバーします。



    以前の修正では、validateIntegerLength() を新しい _setIntLength() ヘルパーに配線し、数値の整数部分が決まる場所(終端バイト到着、.または e/E が確認されるか、入力が完全にバッファされた値内で終了します。これは、MINOR_NUMBER_INTEGER_DIGITSマイナーな状態のままパーサーが入力を使い果たし、呼び出し元にNOT_AVAILABLEを返す、攻撃者関連のパスでは呼び出されませんでした。



    その結果、ターミネータバイトを一度も送信せずにJSONを多くの小さなチャンクでノンブロッキングパーサーにストリーミングする攻撃者は、パーサーをいつまでもMINOR_NUMBER_INTEGER_DIGITS内部に留めておくことになります。
    _textBuffer.expandCurrentSegment() は各チャンクでアキュムレータを増大しますが、validateIntegerLength() は決して呼び出されません。アキュムレータは、maxNumberLength(デフォルトで 1000)ではなく maxStringLength(デフォルトで 20 MiB)によってのみバウンドされ、ドキュメント化されている制限の約 20,000 倍の増幅になります。Java 文字の値は 2 バイトを占めるため、値の完了時にバリデーターが最終的に起動する前に、1 つの接続を約 40 MiB のヒープに駆動できます。



    同等の fraction-path コードは正しいです: _finishFloatFraction() は、その NOT_AVAILABLE が返される前に _setFractLength() を呼び出します。欠落している呼び出しは、_startPositiveNumber() の整数パスに影響します。
    NonBlockingUtf8JsonParserBase の _startNegativeNumber() および _finishNumberIntegralPart()。



    影響:Spring WebFlux/Reactor、Quarkus、Helidon、Vert.x などのリアクティブフレームワークは、インバウンドの HTTP または gRPC バイトが到着したときに、非同期パーサーにフィードします。これはまさに必要なチャンクフィード形状です。
    StreamReadConstraints.maxNumberLength を設定し、数値ごとにメモリを制限することを期待する演算子は、その保証を受けません。同時接続ごとにメモリが蓄積され、攻撃者が制御する同時実行性が JVM ヒープを使い果たす可能性があります。同期パーサー(UTF8StreamJsonParser、ReaderBasedJsonParser)と完全な入力で動作する非同期パーサーは影響を受けません。



    悪用に必要なのは、解析エンドポイントにデータをストリーミングする機能のみです。特権やユーザー操作は必要ありません。



    この問題は、バージョン 2.15.0 から 2.18.7 まで、 2.19.0 から 2.21.3 まで、 2.22.0 から 2.22.0 までの com.fasterxml.jackson.core:jackson-core、 3.0.0 から 3.1.3 、 3.2.0 から 3.2.0 までの tools.jackson.core:jackson-core に影響を与えます。maxNumberLength 設定を定義する StreamReadConstraints は jackson-core 2.15.0で最初に導入されたため、以前のリリースではそのような制約が存在しないために、2.15.0 より前のバージョンは影響を受けません。GHSA-r7wm-3cxj-wff9は、影響を受ける 2.x 範囲を下限なしで示しています。(CVE-2026-68494)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
332786	Linux Distros のパッチ未適用の脆弱性: CVE-2026-68494	Nessus	Misc.	2026/8/5	2026/8/6	high
334631	RHEL 7 : Red Hat JBoss Enterprise Application Platform 7.4.25 Security の更新 (重要) (RHSA-2026:53644)	Nessus	Red Hat Local Security Checks	2026/8/11	2026/8/11	critical
337219	2023 年 Amazon Linux:jackson-core(ALAS2023-2026-2067)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/25	high

検出

プラグインの検索

high

critical

high