CVE-2026-68496

Parser Smile w FasterXML jackson-dataformats-binary nigdy nie wywołuje metody StreamReadConstraints.validateNameLength() podczas dekodowania nazw właściwości obiektów JSON, więc limit maxNameLength nie jest wymuszany dla tego formatu. SmileParser._handleLongFieldName() zwiększa swój wewnętrzny bufor nazw poprzez nieograniczone wywołanie _growArrayTo() i nie sprawdza długości. Osoba atakująca, której uda się przeanalizować dokument Smile, może zatem osadzić pojedynczą nazwę właściwości o nieograniczonej długości; parser buforuje całą nazwę w pamięci przed jej zwróceniem, niezależnie od skonfigurowanej wartości maxNameLength. Ponieważ metoda StreamReadConstraints.maxDocumentLength jest również domyślnie wyłączona, nic innego nie ogranicza nazwy w ustawieniach domyślnych, więc jedynymi ograniczeniami są pojemność wysyłania atakującego i dostępna sterta, co prowadzi do wyczerpania pamięci i odmowy usługi. Nie są wymagane żadne uprawnienia poza możliwością przesłania danych do punktu końcowego analizowania, a wykorzystanie wymaga jedynie dotarcia bajtów do analizy SmileFactory bezpośrednio lub poprzez ObjectMapper skonfigurowany z modułem Smile. własne parsery JSON firmy jackson-core wymuszają przyrostową wartość maxNameLength podczas dekodowania nazw; ta luka jest specyficzna dla formatów binarnych. maxNameLength i validNameLength zostały wprowadzone w wersji jackson-core 2.16.0, więc wersje wcześniejsze niż 2.16.0 nie zawierają ograniczenia, które pozostaje niewymuszone. Problem ten jest śledzony łącznie z defektem analizatora CBOR w tym samym poradniku dostawcy, GHSA-3v8f-v6vx-fmrm, który obejmuje oba formaty binarne. Wada parsera Smile (wydanie jackson-dataformats-binary nr 726) to CVE-2026-68496; defekt parsera CBOR (nr 725) ma przypisany CVE-2026-68495.