因此，它會受到 ALAS2023-2026-3188 公告中所提及的多個弱點影響。

    FasterXML 中的 NumberInput.looksLikeValidNumber（） jackson-core 使用兩個規則運算式預先驗證字串化數字：PATTERN_FLOAT （[+-]？[0-9]*[\.]?[0-9]+（[eE][+-]？[0-9]+）？），自 和 2.17.0PATTERN_FLOAT_TRAILING_DOT 中新增。2.17.2 PATTERN_FLOAT 將相鄰的量詞放在相同的字元類別上 -- 可選的 [0-9]* 執行，可選的點，然後是必要的 [0-9]+ 執行 -- 因此最終無法匹配的輸入會強制 Java 的回溯引擎重試數字執行的每個可能的分割點。

    因此，比對成本會隨著輸入長度的平方而增加。

    能夠提供應用程式還原序列化為數值目標類型的 JSON 的攻擊者會透過 jackson-databind 的預設字串到數字強制 （BigDecimal、BigInteger、Double 和 Float） 的 StdDeserializer 和 NumberDeserializers 來達到此方法。

    由於 StreamReadConstraints.maxStringLength 預設為 20,000,000 個字元，因此在輸入到達正則運算式之前，沒有任何條件約束會限制輸入。

    記者的測試證實，在連續五次輸入大小加倍中，O（n^2） 增長，單個 160,000 個字符的字符串在一次調用中消耗大約 74 秒;因此，少量具有一般內文大小的並行要求可能會耗盡伺服器的要求處理執行緒集區。

    受影響的方法之前 2.17.0不存在，因此 2.16.x 和更早版本不受影響。

    此修正將這兩個規則運算式替換為手捲單程掃描。CVE-2026-89407

    FasterXML 中的 UTF8DataInputJsonParser._reportInvalidToken（） jackson-core 透過在沒有上限的迴圈中將Java識別碼字元附加到 StringBuilder，為其錯誤訊息建立違規標記文字。與包括 UTF8StreamJsonParser 在內的三個同級剖析器實作不同，它從不諮詢 ErrorReportConfiguration.getMaxErrorTokenLength（） （預設值 256）。因此，提供給透過 JsonFactory.createParser（DataInput） 建立的剖析器時，格式錯誤的權杖會完整累積。沒有 StreamReadConstraints 設定可減輕此問題：maxDocumentLength 完全無法套用至 DataInput 來源，而且 maxStringLength 不會涵蓋此路徑，因為累積會繞過 ReadConstrainedTextBuffer。報告者從 DataInput 路徑上 20,000,109 個字元的格式錯誤令牌中測量了 20,000,109 個字元的例外訊息，而 InputStream 路徑上相同輸入則為 367 個字元。擴展承載會驅動 StringBuilder （這也會導致位元組到字元的擴展和內部陣列加倍），達到原始承載大小的許多倍，並可能觸發整個 JVM 的 OutOfMemoryError。UTF8DataInputJsonParser 與 createParser（DataInput） 一起引入 2.8.0 ;
    之前2.8.0的版本不包含受影響的類別。CVE-2026-89425

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2023：jackson-core (ALAS2023-2026-3188)

high Nessus Plugin ID 365243

版本 1.1