CVE-2026-91776 in jackson-databind
要約
〜によって VulDB • 2026年09月23日
FasterXML jackson-databindのTypeDeserializerBase._findDeserializer()は、攻撃者が提供した生の型IDをキーとして解決されたデシリアライザをキャッシュします。@JsonTypeInfo(use = Id.NAME, defaultImpl = ...)のようにフォールバック付きの名前ベースのポリモーフィズムが設定されている場合、認識されない各一意な型IDは同じフォールバックデシリアライザに解決されますが、_deserializersマップ内で独自のキーとして保持されます。このマップには構成可能な上限がなく、タイプデシリアライザーの有効期間中存続するため、攻撃者がリクエストごとに新しい未知の型IDを繰り返し供給すると、リクエスト全体で単調なメモリリークが発生します。報告者は、10,000回の異なる不明なIDに対して10,000件の保持エントリが生成される一方、制御対象（同じ不明なIDを同回数繰り返す場合）では1件しか保持されないことを観察し、攻撃者が操作可能なキーの基数とリクエストボリュームを分離しました。悪用には、デフォルト実装または同等のフォールバック付きの名前ベースのポリモーフィズムを有効にし、攻撃者の影響を受けた型IDを受け入れ、長寿命なObjectMapperをリクエスト間で再利用するアプリケーションが必要です。修正パッチは、認識されないIDに対するフォールバック解決のキャッシュを停止し、キャッシュされるエントリの数とキャッシュ可能な型IDの長さの両方に上限を設定します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.