CVE-2026-68497 in jackson-databind
要約
〜によって VulDB • 2026年09月11日
jackson-databindは、CoreXMLDeserializers.Std._deserialize内でDatatypeFactory.newDuration(value)またはnewXMLGregorianCalendar(value)に生文字列をそのまま渡すことで、JSON文字列をjavax.xml.datatype.Durationやjavax.xml.datatype.XMLGregorianCalendarフィールドにバインドします。これらのデシリアライザはオプトインなしでデフォルトに登録されているため、ポリモーフィックタイピングも特別な設定もないPlainなObjectMapperまたはJsonMapperでもこのパスに到達します。XML Schemaのレキシカル文法では数値コンポーネントの長さに制限がないため、JDKはnative BigInteger(String)およびBigDecimal(String)コンストラクタを通じてこれを具現化しますが、これらは桁数に対して二次的な計算量を持ちます。数字がJSON数値トークンではなくJSON文字列トークンの内部にあるため、jackson-coreのStreamReadConstraints.maxNumberLengthガードは適用されません。jackson自体のNumberDeserializersでは文字列化された数を解析する前にvalidateIntegerLengthまたはvalidateFPLengthを呼び出して検証しますが、XMLデータ型デシリアライザはこの事前チェックを省略しています。したがって、認証されていない攻撃者は数メガバイト程度の単一リクエスト（例：Pで始まり数百万桁の数字とYで終わるDuration値など）を送信し、数十秒から数分間のシングルスレッドCPU処理を強制できます。複数の同時実行リクエストによりサーバーのワーカースレッドが飽和する可能性があります。本脆弱性はcom.fasterxml.jackson.core:jackson-databindの2.0.0以降2.18.10未満、2.19.0以降2.21.6未満、および2.22.0以降2.22.2未満、ならびにtools.jackson.core:jackson-databindの3.0.0以降3.1.6未満、および3.2.0以降3.2.2未満に影響します。ユーザーは2.18.10、2.21.6、2.22.2、3.1.6、または3.2.2にアップグレードしてください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.