Wysoki Odebrany

CVE-2026-68498

opublikowano: 17.10.2026, 00:17

modyfikacja: 17.10.2026, 00:17

Ocena CVSS

7.5

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

StreamReadConstraints.maxNameLength (domyślnie 50 000 znaków) ma na celu ograniczenie ilości pamięci, jaką może zająć pojedyncza nazwa właściwości obiektu JSON podczas analizowania, niezależnie od znacznie większej wartości maxStringLength (domyślnie 100 000 000 znaków), która ogranicza zwykłe wartości ciągów. W przypadku parserów zbudowanych w oparciu o źródła wprowadzania znaków — źródła Reader, String lub char[], wszystkie obsługiwane przez ReaderBasedJsonParser — to powiązanie nie jest stosowane podczas akumulacji nazwy. Zamiast tego ścieżka kodu ponownie wykorzystuje kontrolę długości ciągu znaków, która domyślnie jest około 2000 razy większa.

W wolnej ścieżce wprowadzania znaków funkcja ReaderBasedJsonParser._parseName2() gromadzi nazwę w buforze TextBuffer i po zapełnieniu segmentu wywołuje metodę TextBuffer.finishCurrentSegment(), która sprawdza tylko wartość maxStringLength. Prawidłowa kontrola StreamReadConstraints.validateNameLength(int) jest osiągana później w funkcji CharsToNameCanonicalizer.findSymbol(), gdy cała nazwa zostanie zeskanowana do cudzysłowu zamykającego. W tym momencie pełna nazwa — aż do znaków maxStringLength — jest już buforowana w pamięci.

Osoba atakująca zdalnie, która może przeanalizować w tej ścieżce pojedynczą wystarczająco długą nazwę właściwości obiektu JSON, może wymusić alokację rzędu 100 000 000 znaków (około 200 MB, przy czym księgowanie segmentów zwiększa rzeczywiste wykorzystanie szczytowe) przed zgłoszeniem wyjątku StreamConstraintsException zamiast około 50 000 znaków (około 100 KB) związanych z obietnicami API. Powtarzanie tej czynności w przypadku równoczesnych żądań może wyczerpać stertę i spowodować awarię procesu. Nie jest wymagane żadne uwierzytelnianie ani interakcja użytkownika. Ponieważ metoda StreamReadConstraints.maxDocumentLength jest domyślnie wyłączona (-1), nic innego nie ogranicza najpierw tokenu, więc problem można wykorzystać w konfiguracji domyślnej.

Nie ma to wpływu na parsery wprowadzania bajtów: UTF8StreamJsonParser, UTF8DataInputJsonParser i parsery nieblokujące (asynchroniczne) ponownie weryfikują wartość maxNameLength przy każdym zwiększeniu bufora dekodowania nazw za pomocą ParserBase._growNameDecodeBuffer(), odrzucając zbyt dużą nazwę po przydzieleniu zaledwie kilkudziesięciu kilobajtów. Aplikacje są ujawniane, gdy niezaufany kod JSON jest analizowany na podstawie ciągu znaków, czytnika lub znaku char[] — na przykład treści żądania HTTP już wczytanej do ciągu znaków — a nie z surowych bajtów UTF-8.

Ten problem dotyczy com.fasterxml.jackson.core:jackson-core od wersji 2.16.0 i Tools.jackson.core:jackson-core od wersji 3.0.0. Nie ma to wpływu na wydania wcześniejsze niż 2.16.0, ponieważ plik StreamReadConstraints.maxNameLength został po raz pierwszy wprowadzony w wersji jackson-core 2.16.0.

StreamReadConstraints.maxNameLength (default 50,000 characters) is intended to bound how much memory a single JSON Object property name can consume while being parsed, independently of the much larger maxStringLength (default 100,000,000 characters) that bounds ordinary string values. For parsers built over character input — Reader, String or char[] sources, all served by ReaderBasedJsonParser — that bound is not applied while the name is being accumulated. The code path instead re-uses the string-value length check, which is roughly 2000x larger by default.

In the character-input slow path, ReaderBasedJsonParser._parseName2() accumulates the name into the TextBuffer and, when a segment fills, calls TextBuffer.finishCurrentSegment(), which validates only maxStringLength. The correct check, StreamReadConstraints.validateNameLength(int), is reached afterwards in CharsToNameCanonicalizer.findSymbol(), once the entire name has been scanned to its closing quote. By that point the full name — up to maxStringLength characters — has already been buffered in memory.

A remote attacker who can have a single sufficiently long JSON Object property name parsed through this path can force allocation on the order of 100,000,000 characters (approximately 200 MB, with segment bookkeeping pushing real peak usage higher) before any StreamConstraintsException is thrown, instead of the approximately 50,000-character (about 100 KB) bound the API promises. Repeating this across concurrent requests can exhaust the heap and crash the process. No authentication or user interaction is required. Because StreamReadConstraints.maxDocumentLength is disabled by default (-1), nothing else bounds the token first, so the issue is exploitable under default configuration.

Byte-input parsers are not affected: UTF8StreamJsonParser, UTF8DataInputJsonParser and the non-blocking (async) parsers re-validate maxNameLength on every growth of the name-decode buffer via ParserBase._growNameDecodeBuffer(), rejecting an oversized name after allocating only tens of kilobytes. Applications are exposed when untrusted JSON is parsed from a String, Reader or char[] — for example an HTTP request body already read into a String — rather than from raw UTF-8 bytes.

This issue affects com.fasterxml.jackson.core:jackson-core from 2.16.0 and tools.jackson.core:jackson-core from 3.0.0. Releases before 2.16.0 are not affected, because StreamReadConstraints.maxNameLength was first introduced in jackson-core 2.16.0.

>_ Słabości (CWE)

CWE-400

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve