Amazon Linux 2023：jackson-core (ALAS2023-2026-2067)

medium Nessus 插件 ID 337219

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，它受到 ALAS2023-2026-2067 公告中提及的一个漏洞影响。

jackson-core 中的非阻塞（异步）JSON 解析器未强制执行 StreamReadConstraints 中定义的 maxNumberLength 限制（默认：1000 个字符）。能够将 JSON 提交到使用异步解析器 API 的应用程序的攻击者可提供任意长度的数字标记，从而导致过量内存分配和潜在 CPU 耗尽，从而导致拒绝服务。

同步解析器正确地强制执行此限制，因此根据应用程序使用的解析 API 会不一致地应用该限制。

根本原因：NonBlockingUtf8JsonParserBase 和相关类中的异步解析路径从不调用数字长度验证方法。_finishNumberIntegralPart（）等数字解析方法在不进行任何长度检查的情况下将数字数累积到 TextBuffer 中，然后调用 _valueComplete（）完成标记。
_valueComplete（）未调用 resetInt（）或 resetFloat（），这些是 ParserBase 中执行 validateIntegerLength（）和 validateFPLength（）的方法。由于会跳过该验证步骤，因此从不在异步代码路径中强制执行 maxNumberLength。

影响：攻击者将包含任意长数字的 JSON 文档发送至使用异步解析器的应用程序（例如 Spring WebFlux 或其他反应式应用程序），可能会造成 TextBuffer 中的无限分配和 OutOfMemoryError。如果应用程序随后调用 getBigIntegerValue（）或 getDecimalValue（），JVM 可能会额外被绑定在 O（n^2） BigInteger 解析中，从而造成基于 CPU 的拒绝服务。

除了能够提交数据以进行解析之外，不需要任何权限或用户交互。

此问题影响 com.fasterxml.jackson.core：jackson-core 从版本2.15.0到 2.18.52.21.02.19.0 tools.jackson.core：jackson-core 3.0.03.0.x

低于此版本 2.15.0 的版本不受影响，因为定义 maxNumberLength 设置的 StreamReadConstraints 是在 jackson-core 2.15.0中首次引入的，因此较早的版本中不存在此类限制以供绕过。请注意，GHSA-qq72hv-8253-57 将受影响 2.x 范围的下界记录为 2.0.0。（CVE-2026-18401）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

运行“dnf update jackson-core --releasever 2023.12.20260817”或“dnf update --advisory ALAS2023-2026-2067 --releasever 2023.12.20260817”以更新系统。

另见

https://alas.aws.amazon.com//AL2023/ALAS2023-2026-2067.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2026-18401.html

插件详情

严重性: Medium

ID: 337219

文件名: al2023_ALAS2023-2026-2067.nasl

版本: 1.1

类型: Local

代理: unix

系列: Amazon Linux Local Security Checks

发布时间: 2026/8/18

最近更新时间: 2026/8/18

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus