CVE-2026-68495

Parser CBOR w FasterXML jackson-dataformats-binary nigdy nie wywołuje metody StreamReadConstraints.validateNameLength() podczas dekodowania nazw właściwości obiektów JSON, więc limit maxNameLength nie jest wymuszany dla tego formatu. Funkcja CBORParser._decodeLongerName() dekoduje nazwę właściwości o określonej długości bez sprawdzania długości, a funkcja CBORParser._decodeChunkedName() deleguje do zorientowanej na wartości procedury _finishChunkedText(), która sprawdza wartość maxStringLength zamiast maxNameLength. Osoba atakująca, której uda się przeanalizować dokument CBOR, może zatem osadzić pojedynczą nazwę właściwości o nieograniczonej długości; parser buforuje całą nazwę w pamięci przed jej zwróceniem, niezależnie od skonfigurowanej wartości maxNameLength. Ponieważ metoda StreamReadConstraints.maxDocumentLength jest również domyślnie wyłączona, nic innego nie ogranicza nazwy w ustawieniach domyślnych, więc jedynymi ograniczeniami są pojemność wysyłania atakującego i dostępna sterta, co prowadzi do wyczerpania pamięci i odmowy usługi. Nie są wymagane żadne uprawnienia poza możliwością przesłania danych do punktu końcowego analizowania, a eksploatacja wymaga jedynie dotarcia bajtów do analizy CBORFactory bezpośrednio lub poprzez ObjectMapper skonfigurowany z modułem CBOR. własne parsery JSON firmy jackson-core wymuszają przyrostową wartość maxNameLength podczas dekodowania nazw; ta luka jest specyficzna dla formatów binarnych. maxNameLength i validNameLength zostały wprowadzone w wersji jackson-core 2.16.0, więc wersje wcześniejsze niż 2.16.0 nie zawierają ograniczenia, które pozostaje niewymuszone. Problem ten jest śledzony łącznie z defektem analizatora uśmiechu w tym samym poradniku dostawcy, GHSA-3v8f-v6vx-fmrm, który obejmuje oba formaty binarne. Wada analizatora CBOR (wydanie jackson-dataformats-binary nr 725) to CVE-2026-68495; defekt parsera Smile (nr 726) ma przypisany CVE-2026-68496.