CVE-2026-89425 in jackson-core
요약
\~에 의해 VulDB • 2026. 09. 23.
FasterXML jackson-core의 UTF8DataInputJsonParser._reportInvalidToken() 메서드는 오류 메시지에 사용할 offending-token 텍스트를, 상한이 없는 루프에서 Java 식별자 문자열을 StringBuilder에 추가하여 생성합니다. UTF8StreamJsonParser를 포함한 다른 세 가지 형제 parser 구현체와는 달리, 이 메서드는 ErrorReportConfiguration.getMaxErrorTokenLength()(기본값 256)를 참조하지 않습니다. 따라서 JsonFactory.createParser(DataInput)를 통해 생성된 Parser로 전달되는 malformed token은 전체가 누적됩니다. StreamReadConstraints 설정으로는 이를 완화할 수 없습니다: maxDocumentLength는 DataInput 소스에 전혀 적용될 수 없으며, maxStringLength도 이 경로에서는 ReadConstrainedTextBuffer를 우회하여 누적이 발생하기 때문에 커버되지 않습니다. 보고자는 DataInput 경로를 통해 2000만 문자의 malformed token에서 20,000,109자 길이의 예외 메시지를 생성했으며, 동일한 입력을 InputStream 경로로 처리할 때는 367자에 그쳤다고 측정했습니다. 페이로드를 확장하면 StringBuilder가 여러 배 크기로 증가하며, 이는 바이트-문자 변환과 내부 배열의 두 배 확대를 수반하여 원본 페이로드 크기보다 훨씬 커지고 JVM 전체에서 OutOfMemoryError를 유발할 수 있습니다. UTF8DataInputJsonParser는 2.8.0 버전에서 createParser(DataInput)와 함께 도입되었으며, 2.8.0 이전 릴리스에는 해당 클래스가 포함되어 있지 않습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.