CVE-2026-68497

jackson-databind wiąże ciąg JSON z polem javax.xml.datatype.Duration lub javax.xml.datatype.XMLGregorianCalendar, przekazując surowy ciąg tekstowy do DatatypeFactory.newDuration(wartość) lub newXMLGregorianCalendar(wartość) w CoreXMLDeserializers.Std._deserialize. Te deserializatory są domyślnie rejestrowane bez zgody, więc do tej ścieżki dociera zwykły ObjectMapper lub JsonMapper bez typowania polimorficznego i bez specjalnej konfiguracji. Gramatyka leksykalna XML Schema dopuszcza komponenty numeryczne o dowolnej długości, które JDK materializuje za pomocą natywnych konstruktorów BigInteger(String) i BigDecimal(String), przy czym oba są kwadratowe pod względem liczby cyfr. Ponieważ cyfry znajdują się w tokenie ciągu JSON, a nie w tokenie numeru JSON, ochrona StreamReadConstraints.maxNumberLength modułu jackson-core nigdy nie ma zastosowania; Własne metody NumberDeserializers jacksona wywołują validIntegerLength lub validFPLength przed analizowaniem liczby ciągnionej, ale deserializator typu danych XML pomija to wstępne sprawdzenie. Nieuwierzytelniony atakujący może zatem przesłać pojedyncze żądanie o wielkości kilku megabajtów, na przykład wartość Duration składającą się z litery P, po której następuje kilka milionów cyfr i litera Y, i wymusić pracę jednowątkowego procesora od kilkudziesięciu sekund do kilku minut; kilka równoczesnych żądań może przepełnić wątki robocze serwera. Dotyczy to com.fasterxml.jackson.core:jackson-databind od 2.0.0 przed 2.18.10, od 2.19.0 przed 2.21.6 i od 2.22.0 przed 2.22.2 oraz Tools.jackson.core:jackson-databind od 3.0.0 przed 3.1.6 i od 3.2.0 przed 3.2.2. Użytkownicy powinni dokonać aktualizacji do wersji 2.18.10, 2.21.6, 2.22.2, 3.1.6 lub 3.2.2.