Amazon Linux 2023：jackson-core (ALAS2023-2026-3188)
high Nessus 插件 ID 365243
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，该软件受到 ALAS2023-2026-3188 公告中提及的多个漏洞影响。FasterXML 中的 NumberInput.looksLikeValidNumber（） jackson-core 使用两个正则表达式预验证字符串化数字：PATTERN_FLOAT （[+-]？[0-9]*[\.]?[0-9]+（[eE][+-]？[0-9]+）？），自 2.17.0和 PATTERN_FLOAT_TRAILING_DOT 中 2.17.2添加，在 中添加。PATTERN_FLOAT将相邻的限定符放在同一个字符类上——可选的 [0-9]* 运行，可选的点，然后是必需的 [0-9]+ 运行，因此最终匹配失败的输入会强制 Java 的回溯引擎重试数字运行的所有可能拆分点。
因此，匹配成本随着输入长度的平方而增长。
能够提供应用程序反序列化为数值目标类型的 JSON 的攻击者会通过 jackson-databind 的默认字符串到数字强制（用于 BigDecimal、BigInteger、Double 和 Float 的 StdDeserializer 和 NumberDeserializers）达到此方法。
由于 StreamReadConstraints.maxStringLength 默认为 20,000,000 个字符，因此在输入到达 regex 之前没有限制限制输入。
报告者的测试证实，O（n^2） 在连续五次输入大小翻倍期间增长，单个 160,000 个字符的字符串在一次调用中消耗大约 74 秒;因此，少量普通正文大小的并发请求可耗尽服务器的请求处理线程池。
受影响的方法之前 2.17.0不存在，因此 2.16.x 和较早的版本不受影响。
此补丁将这两个正则表达式替换为手动滚动的单通道扫描。（CVE-2026-89407）
FasterXML 中的 UTF8DataInputJsonParser._reportInvalidToken（） jackson-core 通过在无上限的循环中将 Java 标识符附加到 StringBuilder，为其错误消息构建有问题的标记文本。与包括 UTF8StreamJsonParser 在内的三个同级解析器实现不同，它从不查阅 ErrorReportConfiguration.getMaxErrorTokenLength（）（默认值 256）。因此，提供给通过 JsonFactory.createParser（DataInput） 创建的解析器的畸形标记会完全累积。No StreamReadConstraints 设置可缓解此问题：maxDocumentLength 根本无法应用于 DataInput 源，且 maxStringLength 没有覆盖此路径，因为累积会绕过 ReadConstrainedTextBuffer。报告者从 DataInput 路径上 2000 万个字符的畸形标记测量了一条 20,000,109 个字符的异常消息，而 InputStream 路径上相同输入则为 367 个字符。扩展负载会将 StringBuilder（这还会产生字节到字符扩展和内部数组翻倍）驱动原始负载大小的许多倍，并且可触发整个 JVM 的 OutOfMemoryError。UTF8DataInputJsonParser 与 createParser（DataInput） 一起引入 2.8.0 ;
之前 2.8.0 的版本不包含受影响的类。（CVE-2026-89425）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update jackson-core --releasever 2023.12.20261012”或“dnf update --advisory ALAS2023-2026-3188 --releasever 2023.12.20261012”以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3188.html
https://alas.aws.amazon.com/faqs.html
插件详情
严重性: High
ID: 365243
文件名: al2023_ALAS2023-2026-3188.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/12
最近更新时间: 2026/10/12
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Low
分数: 3
百分位: 23.63
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 5.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 分数来源: CVE-2026-89425
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:jackson-core
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/10/12
漏洞发布日期: 2026/9/22
参考资料信息
CVE: CVE-2026-89407, CVE-2026-89425