リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22034-1 アドバイザリで言及されています。

    - CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
    - CVE-2026-19032:「java.nio.file.Path」のデシリアライザーが、URI スキーマを制限せずに攻撃者が指定した URI を解決します(bsc#1277883)。
    - CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
    - CVE-2026-68497:このため、認証されていない攻撃者が、数メガバイト(bsc#1280125)の単一のリクエストを送信する可能性があります。
    - CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
    - CVE-2026-83557:不完全な「PolymorphicTypeValidator」拒否リストにより、任意の「比較可能な」逆シリアル化が可能になります(bsc#1278008)。
    - CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
    - CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。
    - CVE-2026-91776:「TypeDeserializerBase._findDeserializer()」は、解決された逆シリアル化子を、攻撃者が指定した未加工のタイプ ID の下にキャッシュします。これにより、特定の構成で、キャッシュが際限なく増加する可能性があります(bsc#1282491)。
    - CVE-2026-91777:「@JsonIdentityInfo」オブジェクト ID の前方参照完了は、解決されたすべての ID について保留中の参照アキュムレーターの線形スキャンを実行します。これにより、逆シリアル化中に CPU の二次仕事が発生する可能性があります(bsc#1282492)。

    jackson-annotations の変更:

    - 2.18.11 への更新

    jackson-core の変更:

    - 2.18.11 への更新
     * #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
     * #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
     * #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
     * #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します

    jackson-databind の変更点:

    - 2.18.11 への更新
     * #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
     * #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
     * #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
     * #6099:TypeFactory.findClass() で初期化なしのクラスを解決
     * #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
     * #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
     * #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
     * #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
     * #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - FasterXML jackson-databind の TypeDeserializerBase._findDeserializer() は、解決された逆シリアル化子を、攻撃者が指定した未加工のタイプ ID の下にキャッシュします。名前ベースのポリモーフィズムがフォールバックで設定されている場合 (たとえば @JsonTypeInfo(use = Id.NAME, defaultImpl = ...)、認識されないすべての個別の型 ID は同じフォールバック デシリアライザーに解決されますが、_deserializers マップでは独自のキーとして保持されます。そのマップには構成可能なバインドがなく、型デシリアライザーの有効期間中存続するため、新しい未知の型 ID を繰り返し供給できる攻撃者は、リクエスト間で単調なメモリ保持を引き起こします。レポーターは、1 つの不明な ID を同じ回数繰り返すコントロールの単一のエントリに対して、10,000 の不明な ID からの 10,000 の保持エントリを観察しました。これにより、攻撃者が制御するキーカーディナリティがリクエストボリュームから分離されました。悪用するには、defaultImpl または同等のフォールバックで名前ベースのポリモーフィズムを有効にし、攻撃者の影響を受ける型 ID を受け入れ、リクエスト間で長寿命の ObjectMapper を再利用するアプリケーションが必要です。この修正により、認識されないIDに対するフォールバック解決策のキャッシュが停止され、キャッシュされたエントリの数とキャッシュ可能なタイプIDの長さの両方が制限されます。(CVE-2026-91776)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4394-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
    - CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
    - CVE-2026-68495:CBOR パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282639)。
    - CVE-2026-68496:Smile パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282640)。
    - CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
    - CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
    - CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。

    jackson-annotations の変更:

    - 2.18.11 への更新

    jackson-bom の変更:

    - 2.18.11 への更新

    jackson-core の変更:

    - 2.18.11 への更新
     * #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
     * #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
     * #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
     * #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します

    jackson-databind の変更点:

    - 2.18.11 への更新
     * #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
     * #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
     * #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
     * #6099:TypeFactory.findClass() で初期化なしのクラスを解決
     * #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
     * #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
     * #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
     * #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
     * #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します

    jackson-dataformat-xml に対する変更:

    - 2.18.11 への更新
     * past-JDK-8 バイトコードの生成を回避するためにビルドを修正します
     * #891:FromXmlParser で StreamReadConstraints.maxNestingDepth を強制します

    jackson-dataformats-binary の変更:

    - 2.18.11 への更新
     * #783:(protobuf)ProtobufParser の StreamReadConstraints.maxDocumentLength をサポートします
     * #785:(avro)Avro パーサーにおいて StreamReadConstraints.maxDocumentLength および maxTokenCount をサポートします
     * #803:(ion)Ion パーサーの StreamReadConstraints.maxNestingDepth をサポートします( #358 の部分的修正)
     * #805:(ion)Ion パーサーの StreamReadConstraints.maxDocumentLength をサポートします( #358 の部分的修正)
     * #725:(cbor)CBOR パーサーに対して強制された maxNameLength 制限を確実に実施する(bsc#1282639、 CVE-2026-68495)
     * #726:(smile)Smile パーサーに対して強制された maxNameLength 制限を確実に実行します(bsc#1282640、 CVE-2026-68496)
     * #727:(cbor)CBORParser.nextFieldName(SerializableString) が、5 ビット長のマーカー 23 と 24 を混同します(「1 バイト長のサフィックスが続く」)
     * #728:(cbor)CBORParser.nextFieldName(SerializableString) が、ファストパスのミスでオブジェクトエントリスロットを 2 回消費し、特定の長さのオブジェクトを切り捨てます
     * #733:(cbor)長い「文字列」が「stringref」参照テーブルに追加されず、以下の参照が破損します
     * #735:(cbor)「stringref」property-name パスが、実際の長さの代わりに 5 ビットの長さのマーカーを shouldReferenceString() に渡します
     * #736:(cbor)Long Object プロパティ名が「stringref」参照テーブルに 2 回追加されました

    jackson-modules-base の変更:

    - 2.18.11 への更新

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
364341	openSUSE 16:jackson-annotations/jackson-annotations-javadoc/jackson-core/etc(openSUSE-SU-2026:22034-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high
349507	Linux Distros のパッチ未適用の脆弱性: CVE-2026-91776	Nessus	Misc.	2026/9/23	2026/9/25	high
351412	SUSE SLED15:jackson-annotations/jackson-core/jackson-databind/etc(SUSE-SU-2026:4394-1)	Nessus	SuSE Local Security Checks	2026/9/30	2026/9/30	high

検出

プラグインの検索

high

high

high