CVE-2026-91776 in jackson-databind
Zusammenfassung
von VulDB • 23.09.2026
TypeDeserializerBase._findDeserializer() in FasterXML jackson-databind zwischenspeichert den aufgelösten Deserializer unter der rohen, vom Angreifer bereitgestellten Typ-ID. Wenn die namensbasierte Polymorphie mit einem Fallback konfiguriert ist (z. B. @JsonTypeInfo(use = Id.NAME, defaultImpl = ...)), löst sich jede einzelne nicht erkannte Typ-ID auf denselben Fallback-Deserializer auf, wird jedoch als eigener Schlüssel in der _deserializers-Karte beibehalten. Diese Karte hat keine konfigurierbare Obergrenze und ist über die Lebensdauer des Typ-Deserialsers hinweg verfügbar; ein Angreifer, der wiederholt neue unbekannte Typ-IDs bereitstellen kann, verursacht somit einen monotonen Speicherverbrauch über Anfragen hinweg. Der Melder beobachtete 10.000 beibehaltene Einträge aus 10.000 verschiedenen unbekannten IDs im Vergleich zu einem einzelnen Eintrag bei einer Kontrollanfrage, die dieselbe unbekannte ID genau so oft wiederholte; dies isoliert die angriffskontrollierte Schlüssel-Kardinalität vom Anfragevolumen. Die Ausnutzung erfordert eine Anwendung, die namensbasierte Polymorphie mit defaultImpl oder einem äquivalenten Fallback aktiviert, angreiferbeeinflusste Typ-IDs akzeptiert und einen langlebigen ObjectMapper über Anfragen hinweg wiederverwendet. Der Fix stoppt das Zwischenspeichern von Fallback-Auflösungen für nicht erkannte IDs und begrenzt sowohl die Anzahl der zwischengespeicherten Einträge als auch die Länge einer cache-fähigen Typ-ID.
Once again VulDB remains the best source for vulnerability data.