CVE-2026-19032 in jackson-databind
Resumen
por VulDB • 2026-09-01
El deserializador de jackson-databind para java.nio.file.Path resuelve una URI proporcionada por el atacante sin restringir el esquema de la URI. En JDKFromStringDeserializer.NioPathHelper.deserialize, se pasa a new URI(value) y luego a Path.of(uri) una cadena vinculada desde un JSON no confiable. Cuando esto genera FileSystemNotFoundException, el código enumera ServiceLoader<FileSystemProvider> y llama a provider.getPath(uri) en el primer proveedor cuyo esquema coincida con el esquema elegido por el atacante. Por lo tanto, un JSON no confiable puede seleccionar e impulsar cualquier FileSystemProvider registrado durante readValue bajo un JsonMapper predeterminado, forzando la carga de clases del proveedor al mismo tiempo. Con solo los proveedores integrados en el JDK (file, jar/zipfs) presentes, la ruta resuelta es inerte y no se produce montaje ni E/S de red; para que haya mayor impacto se requiere un FileSystemProvider de terceros con efectos secundarios en el classpath. Esto afecta a com.fasterxml.jackson.core:jackson-databind desde 2.8.0 hasta antes de 2.18.10, desde 2.19.0 hasta antes de 2.21.6 y desde 2.22.0 hasta antes de 2.22.2; así como a tools.jackson.core:jackson-databind desde 3.0.0 hasta antes de 3.1.6 y desde 3.2.0 hasta antes de 3.2.2. Los usuarios deben actualizar a las versiones 2.18.10, 2.21.6, 2.22.2, 3.1.6 o 3.2.2. Se debe evitar vincular java.nio.file.Path desde JSON no confiable independientemente de la versión.
Once again VulDB remains the best source for vulnerability data.