AlmaLinux 9.2 [TuxCare] 安全性更新：pki-jackson-databind （ALMALINUX9.2：CLSA-2026：1792200854）

high Nessus Plugin ID 366708

語言:

概要

AlmaLinux 主機缺少一個或多個安全性更新。

說明

AlmaLinux 9.2 主機已安裝的套件受到 TuxCare ALMALINUX9.2：CLSA-2026：1792200854 公告中提及的弱點影響。

- jackson-databind 透過將原始字串逐字傳遞給 CoreXMLDeserializers.Std._deserialize 中的 DatatypeFactory.newDuration（value）或 newXMLGregorianCalendar（value），將 JSON 字串綁定到 javax.xml.datatype.Duration 或 javax.xml.datatype.XMLGregorianCalendar 欄位。這些還原序列化程式預設為註冊，無需選擇加入，因此沒有多態類型且沒有特殊設定的普通 ObjectMapper 或 JsonMapper 會到達此路徑。XML 結構描述詞彙文法允許任意長度的數值元件，JDK 會透過原生 BigInteger（String）和 BigDecimal（String）建構函式實現這些元件，這兩個建構函式的位數計數都是二次的。由於數字位於 JSON 字串權杖內，而不是 JSON 數字權杖中，因此 jackson-core 的 StreamReadConstraints.maxNumberLength 防護永遠不會套用;jackson 自己的 NumberDeserializers 會在剖析字串化數字之前呼叫 validateIntegerLength 或 validateFPLength，但 XML 資料類型還原序列化程式會省略該預先檢查。因此，未經身份驗證的攻擊者可以提交幾兆位元組的單一請求，例如由字母 P 後面接著數百萬位數字和字母 Y 組成的 Duration 值，並強制數十秒到幾分鐘的單執行緒 CPU 工作;少數並行要求可能會使伺服器的工作執行緒飽和。這會影響 com.fasterxml.jackson.core：jackson-databind from 2.0.0 before ， from 2.19.0 before 2.21.6和 2.22.22.22.0 from before ，以及 tools.jackson.core：jackson-databind 3.1.63.0.0 from before 和 3.2.0 from before3.2.2。2.18.10 使用者應升級至 2.18.10、 2.21.6、 2.22.23.1.6、或 3.2.2。（CVE-2026-68497）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。