CVE-2026-68496 in jackson-dataformats-binary
Sumário
de VulDB • 01/10/2026
O analisador Smile no jackson-dataformats-binary da FasterXML nunca invoca StreamReadConstraints.validateNameLength() ao decodificar nomes de propriedades de objetos JSON, portanto o limite maxNameLength não é aplicado para este formato. SmileParser._handleLongFieldName() expande seu buffer interno de nome através de uma chamada _growArrayTo() sem restrições e realiza nenhuma validação de comprimento. Um atacante que possa fazer com que um documento Smile seja analisado pode, portanto, incorporar um único nome de propriedade de comprimento ilimitado; o analisador armazena em buffer todo o nome na memória antes de retorná-lo, independentemente do valor configurado para maxNameLength. Como StreamReadConstraints.maxDocumentLength também está desativado por padrão, nada mais limita o nome nas configurações padrão, portanto os únicos limites são a capacidade de upload do atacante e a heap disponível, levando ao esgotamento da memória e negação de serviço (DoS). Não são necessários privilégios além da capacidade de enviar dados para um ponto de extremidade de análise, e a exploração requer apenas que os bytes cheguem à classe SmileFactory parsing, diretamente ou por meio de um ObjectMapper configurado com o módulo Smile. Os próprios analisadores JSON do jackson-core aplicam maxNameLength incrementalmente durante a decodificação dos nomes; esta lacuna é específica para os formatos binários. maxNameLength e validateNameLength foram introduzidos no jackson-core 2.16.0, portanto as versões anteriores à 2.16.0 não contêm a restrição que fica sem aplicação. Este problema está rastreado junto com o defeito do analisador CBOR na mesma advisory do fornecedor, GHSA-3v8f-v6vx-fmrm, que cobre ambos os formatos binários. O defeito do analisador Smile (jackson-dataformats-binary issue #726) é CVE-2026-68496; o defeito do analisador CBOR (issue #725) recebeu a atribuição de CVE-2026-68495.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.