CVE-2026-106554
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Jeden problem z analizą CBOR w module CBOR firmy jackson-dataformats-binary: nieograniczona liczba tagów CBOR powoduje wzrost listy tagów w czasie kwadratowym (DoS wyczerpania procesora/GC, sprawdzone przez PoC).
PoC wykonany względem com.fasterxml.jackson.dataformat:jackson-dataformat-cbor:2.18.2; obecny w bieżących wersjach 2.x i 3.x (tools.jackson.dataformat.cbor) HEAD. Różni się od porad Avro i Smile/Protobuf dla tego repozytorium.
Kwadratowy procesor/GC DoS z nieograniczonego łańcucha tagów CBOR (sprawdzony przez PoC). Plik: cbor/src/main/Java/.../cbor/CBORParser.java (obsługa tagów -> TagList).
CBOR pozwala na poprzedzenie elementu danych dowolną liczbą znaczników semantycznych. Parser CBOR gromadzi je w liście TagList, której tablica zapasowa rośnie o ustalony przyrost (+8), a nie podwajanie, i ponownie skanuje/kopiuje przy każdym wzroście. Osoba atakująca wysyła wartość poprzedzoną długim ciągiem bajtów znacznika; wzrost o stałym przyroście powoduje gromadzenie N znaczników O(N^2) w czasie (plus ciśnienie GC), bez ograniczenia liczby ułożonych w stos znaczników.
PoC (wykonany, JDK 17): podanie strumienia CBOR składającego się z długiego ciągu bajtów znacznika (np. znacznika 0xC0+) przed trywialną wartością wymuszającą kwadratowość CPU/GC; czas analizy rośnie superliniowo wraz ze wzrostem liczby tagów, przypinając wątek żądania bez konfigurowalnego limitu.
Uderzenie. Odmowa usługi o złożoności algorytmicznej (CWE-407): skromne dane wejściowe w postaci ułożonych w stos tagów zużywają kwadratową moc procesora/GC, przypinając wątek żądania; równoczesne żądania wyczerpują pulę.
Naprawić. Rozwijaj listę tagów, podwajając i/lub ograniczając liczbę nałożonych na siebie tagów (w stylu StreamReadConstraints).
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org