Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - FasterXML jackson-core の UTF8DataInputJsonParser._reportInvalidToken() は、上限がないループの StringBuilder にJava識別子文字を追加することで、そのエラーメッセージに対する違反トークンテキストを構築します。UTF8StreamJsonParser を含む 3 つの兄弟パーサーの実装とは異なり、ErrorReportConfiguration.getMaxErrorTokenLength() (デフォルトは 256) とは決して参照しません。したがって、JsonFactory.createParser(DataInput) を通じて作成されたパーサーに提供された無効な形式のトークンがフル累積されます。StreamReadConstraints設定なしは、maxDocumentLengthをDataInputソースにまったく適用できません。累積がReadConstrainedTextBufferをバイパスするため、maxStringLengthはこのパスをカバーしません。報告者は、DataInput パス上の 2,000 万文字の無効な形式のトークンからの 20,000,109 文字の例外メッセージを、InputStream パス上の同一の入力では 367 文字と測定しました。ペイロードをスケーリングすると、StringBuilder がドライブされ、これもバイトから文字への拡張および内部配列の倍増が発生しますが、生のペイロードサイズの何倍にもなり、JVM 全体で OutOfMemoryError が発生する可能性があります。UTF8DataInputJsonParser は、createParser(DataInput) とともに 2.8.0 で導入されました。
    2.8.0 より前のリリースには、影響を受けるクラスは含まれていません。 (CVE-2026-89425)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22034-1 アドバイザリで言及されています。

    - CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
    - CVE-2026-19032:「java.nio.file.Path」のデシリアライザーが、URI スキーマを制限せずに攻撃者が指定した URI を解決します(bsc#1277883)。
    - CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
    - CVE-2026-68497:このため、認証されていない攻撃者が、数メガバイト(bsc#1280125)の単一のリクエストを送信する可能性があります。
    - CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
    - CVE-2026-83557:不完全な「PolymorphicTypeValidator」拒否リストにより、任意の「比較可能な」逆シリアル化が可能になります(bsc#1278008)。
    - CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
    - CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。
    - CVE-2026-91776:「TypeDeserializerBase._findDeserializer()」は、解決された逆シリアル化子を、攻撃者が指定した未加工のタイプ ID の下にキャッシュします。これにより、特定の構成で、キャッシュが際限なく増加する可能性があります(bsc#1282491)。
    - CVE-2026-91777:「@JsonIdentityInfo」オブジェクト ID の前方参照完了は、解決されたすべての ID について保留中の参照アキュムレーターの線形スキャンを実行します。これにより、逆シリアル化中に CPU の二次仕事が発生する可能性があります(bsc#1282492)。

    jackson-annotations の変更:

    - 2.18.11 への更新

    jackson-core の変更:

    - 2.18.11 への更新
     * #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
     * #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
     * #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
     * #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します

    jackson-databind の変更点:

    - 2.18.11 への更新
     * #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
     * #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
     * #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
     * #6099:TypeFactory.findClass() で初期化なしのクラスを解決
     * #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
     * #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
     * #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
     * #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
     * #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-3188 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    FasterXML jackson-core の NumberInput.looksLikeValidNumber() は、2 つの正規表現で文字列化された数値を事前に検証します: PATTERN_FLOAT ([+-]?[0-9]*[\.]?[0-9]+([eE][+-]?[0-9]+)?)、 2.17.0 年以降に存在し、PATTERN_FLOAT_TRAILING_DOT、 2.17.2 年に追加されました。PATTERN_FLOAT、同じ文字クラスに隣接する修飾子を配置するため -- オプションの [0-9]* 実行、オプションのドット、そして必須の [0-9]+ 実行 -- したがって、最終的に一致しない入力は、Java のバックトラッキングエンジンに、桁実行の可能性のあるすべての分割ポイントを再試行させます。

    したがって、マッチングコストは入力の長さの2乗とともに増加します。

    アプリケーションが数値ターゲット型に逆シリアル化するJSONを供給できる攻撃者は、jackson-databindのデフォルトの文字列から数字への強制(BigDecimal、BigInteger、Double、Floatの場合はStdDeserializerとNumberDeserializers)を使用してこのメソッドに到達します。

    StreamReadConstraints.maxStringLength の既定値は 20,000,000 文字であるため、正規表現に到達するまで入力を制限する制約はありません。

    報告者によるテストでは、5 回の連続した入力サイズ倍増で O(n^2) が増加し、1 つの 160,000 文字の文字列が 1 回の呼び出しで約 74 秒を費やすことが確認されました。通常の本文サイズの少数の同時リクエストは、サーバーのリクエスト処理スレッドプールを使い果たす可能性があります。

    影響を受けるメソッドは 2.17.0 以前には存在しないため、 2.16.x 以前のリリースは影響を受けません。

    この修正は、両方の正規表現を手動ロールシングルパススキャンに置き換えます。 (CVE-2026-89407)

    FasterXML jackson-core の UTF8DataInputJsonParser._reportInvalidToken() は、上限がないループの StringBuilder にJava識別子文字を追加することで、そのエラーメッセージに対する問題トークンテキストを構築します。UTF8StreamJsonParser を含む 3 つの兄弟パーサーの実装とは異なり、ErrorReportConfiguration.getMaxErrorTokenLength() (デフォルトは 256) とは決して参照しません。したがって、JsonFactory.createParser(DataInput) を通じて作成されたパーサーに提供された無効な形式のトークンがフル累積されます。StreamReadConstraints設定なしは、maxDocumentLengthをDataInputソースにまったく適用できません。累積がReadConstrainedTextBufferをバイパスするため、maxStringLengthはこのパスをカバーしません。報告者は、DataInput パス上の 2,000 万文字の無効な形式のトークンからの 20,000,109 文字の例外メッセージを、InputStream パス上の同一の入力では 367 文字と測定しました。ペイロードをスケーリングすると、StringBuilder がドライブされ、これもバイトから文字への拡張および内部配列の倍増が発生しますが、生のペイロードサイズの何倍にもなり、JVM 全体で OutOfMemoryError が発生する可能性があります。UTF8DataInputJsonParser は、createParser(DataInput) とともに 2.8.0 で導入されました。
    2.8.0 より前のリリースには、影響を受けるクラスは含まれていません。 (CVE-2026-89425)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4394-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
    - CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
    - CVE-2026-68495:CBOR パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282639)。
    - CVE-2026-68496:Smile パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282640)。
    - CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
    - CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
    - CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。

    jackson-annotations の変更:

    - 2.18.11 への更新

    jackson-bom の変更:

    - 2.18.11 への更新

    jackson-core の変更:

    - 2.18.11 への更新
     * #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
     * #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
     * #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
     * #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します

    jackson-databind の変更点:

    - 2.18.11 への更新
     * #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
     * #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
     * #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
     * #6099:TypeFactory.findClass() で初期化なしのクラスを解決
     * #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
     * #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
     * #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
     * #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
     * #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します

    jackson-dataformat-xml に対する変更:

    - 2.18.11 への更新
     * past-JDK-8 バイトコードの生成を回避するためにビルドを修正します
     * #891:FromXmlParser で StreamReadConstraints.maxNestingDepth を強制します

    jackson-dataformats-binary の変更:

    - 2.18.11 への更新
     * #783:(protobuf)ProtobufParser の StreamReadConstraints.maxDocumentLength をサポートします
     * #785:(avro)Avro パーサーにおいて StreamReadConstraints.maxDocumentLength および maxTokenCount をサポートします
     * #803:(ion)Ion パーサーの StreamReadConstraints.maxNestingDepth をサポートします( #358 の部分的修正)
     * #805:(ion)Ion パーサーの StreamReadConstraints.maxDocumentLength をサポートします( #358 の部分的修正)
     * #725:(cbor)CBOR パーサーに対して強制された maxNameLength 制限を確実に実施する(bsc#1282639、 CVE-2026-68495)
     * #726:(smile)Smile パーサーに対して強制された maxNameLength 制限を確実に実行します(bsc#1282640、 CVE-2026-68496)
     * #727:(cbor)CBORParser.nextFieldName(SerializableString) が、5 ビット長のマーカー 23 と 24 を混同します(「1 バイト長のサフィックスが続く」)
     * #728:(cbor)CBORParser.nextFieldName(SerializableString) が、ファストパスのミスでオブジェクトエントリスロットを 2 回消費し、特定の長さのオブジェクトを切り捨てます
     * #733:(cbor)長い「文字列」が「stringref」参照テーブルに追加されず、以下の参照が破損します
     * #735:(cbor)「stringref」property-name パスが、実際の長さの代わりに 5 ビットの長さのマーカーを shouldReferenceString() に渡します
     * #736:(cbor)Long Object プロパティ名が「stringref」参照テーブルに 2 回追加されました

    jackson-modules-base の変更:

    - 2.18.11 への更新

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
349334	Linux Distros のパッチ未適用の脆弱性: CVE-2026-89425	Nessus	Misc.	2026/9/23	2026/10/15	high
364341	openSUSE 16:jackson-annotations/jackson-annotations-javadoc/jackson-core/etc(openSUSE-SU-2026:22034-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high
365243	2023 年 Amazon Linux:jackson-core(ALAS2023-2026-3188)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	high
351412	SUSE SLED15:jackson-annotations/jackson-core/jackson-databind/etc(SUSE-SU-2026:4394-1)	Nessus	SuSE Local Security Checks	2026/9/30	2026/9/30	high

検出

プラグインの検索

high

high

high

high