CVE-2026-19032 in jackson-databind
Zusammenfassung
von VulDB • 01.09.2026
Der Deserializer von jackson-databind für java.nio.file.Path löst eine vom Angreifer bereitgestellte URI ohne Einschränkung des URI-Schemas auf. In JDKFromStringDeserializer.NioPathHelper.deserialize wird ein aus nicht vertrauenswürdigen JSON-Daten gebundener String an new URI(value) und anschließend an Path.of(uri) übergeben. Wenn dies eine FileSystemNotFoundException auslöst, durchsucht der Code ServiceLoader und ruft provider.getPath(uri) für den ersten Anbieter auf, dessen Schema mit dem vom Angreifer gewählten Schema übereinstimmt. Nicht vertrauenswürdige JSON-Daten können daher unter einem standardmäßigen JsonMapper während readValue einen beliebigen registrierten FileSystemProvider auswählen und steuern, was gleichzeitig das Laden der Provider-Klasse erzwingt. Mit nur den im JDK integrierten Anbietern (file, jar/zipfs) ist der aufgelöste Pfad inert, und es findet kein Mounten oder Netzwerk-I/O statt; eine weitere Auswirkung erfordert einen seiteneffektverursachenden Drittanbieter-FileSystemProvider auf dem Classpath. Dies betrifft com.fasterxml.jackson.core:jackson-databind ab Version 2.8.0 bis vor 2.18.10, ab 2.19.0 bis vor 2.21.6 und ab 2.22.0 bis vor 2.22.2 sowie tools.jackson.core:jackson-databind ab 3.0.0 bis vor 3.1.6 und ab 3.2.0 bis vor 3.2.2. Benutzer sollten auf die Versionen 2.18.10, 2.21.6, 2.22.2, 3.1.6 oder 3.2.2 aktualisieren. Das Binden von java.nio.file.Path aus nicht vertrauenswürdigen JSON-Daten sollte unabhängig von der Version vermieden werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.