Linux Distros 未修補弱點：CVE-2026-68495
high Nessus Plugin ID 362607
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，廠商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。- FasterXML jackson-dataformats-binary 中的 CBOR 剖析器在解碼 JSON 物件內容名稱時絕不會叫用 StreamReadConstraints.validateNameLength（） ，因此不會針對此格式強制執行 maxNameLength 限制。CBORParser._decodeLongerName（） 解碼一個不檢查長度的定長屬性名稱，CBORParser._decodeChunkedName（） 委派給面向值的
_finishChunkedText（） 常式，其驗證 maxStringLength 而不是 maxNameLength。因此，可以剖析 CBOR 檔的攻擊者可能會內嵌無限長度的單一屬性名稱;剖析器會在傳回整個名稱之前在記憶體中緩衝整個名稱，無論 maxNameLength 設定為何。由於預設情況下也停用 StreamReadConstraints.maxDocumentLength，因此在預設設定下沒有其他任何內容會限制名稱，因此唯一的限制是攻擊者的上傳容量和可用的堆積，從而導致記憶體耗盡和拒絕服務。除了能夠將資料提交至剖析端點之外，不需要任何權限，而且利用只需要位元組直接或透過配置有 CBOR 模組的 ObjectMapper 到達 CBORFactory 剖析。jackson-core 自己的 JSON 剖析器在名稱解碼期間以增量方式強制執行 maxNameLength;此間隙是二進位格式特有的。
maxNameLength 和 validateNameLength 是在 jackson-core 2.16.0中引入的，因此之前 2.16.0 的版本不包含未強制執行的約束。此問題會與相同廠商公告 GHSA-3v8f-v6vx-fmrm 中的 Smile 剖析器缺陷一起追蹤，其中涵蓋兩種二進位格式。CBOR 剖析器缺陷 （jackson-dataformats-binary 問題#725） 是 CVE-2026-68495;已指派 CVE-2026-68496Smile 剖析器缺陷 （問題#726）。（CVE-2026-68495）
請注意，Nessus 的判定取決於廠商所報告的套件是否存在。
解決方案
目前尚未有已知的解決方案。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 362607
檔案名稱: unpatched_CVE_2026_68495.nasl
版本: 1.2
類型: Local
代理程式: unix
系列: Misc.
已發布: 2026/10/2
已更新: 2026/10/3
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Low
分數: 3
百分位數: 23.64
CVSS v2
風險因素: Medium
基本分數: 4.3
時間性分數: 3.7
媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P
CVSS 評分資料來源: CVE-2026-68495
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:U/RL:U/RC:C
弱點資訊
CPE: cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, p-cpe:/a:canonical:ubuntu_linux:jackson-dataformat-cbor, p-cpe:/a:debian:debian_linux:jackson-dataformat-cbor
必要的 KB 項目: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
可輕鬆利用: No known exploits are available
弱點發布日期: 2026/10/1
參考資訊
CVE: CVE-2026-68495