Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jackson-databind 的 java.nio.file.Path 反序列化程序在不限制 URI 方案的情况下解析攻击者提供的 URI。在 JDKFromStringDeserializer.NioPathHelper.deserialize 中，从不受信任的 JSON 绑定的字符串被传递到新的 URI（value），然后传递到 Path.of（uri）。当这抛出 FileSystemNotFoundException 时，代码会枚举 ServiceLoader<FileSystemProvider> ，并在方案与攻击者所选方案相匹配的第一个提供程序上调用 provider.getPath（uri）。因此，不受信任的 JSON 可在默认 JsonMapper 下的 readValue 期间选择和驱动任意已注册的 FileSystemProvider，并同时强制提供程序类加载。仅存在 JDK 内置提供程序（file、jar/zipfs）时，解析的路径是惰性的，不会发生挂载或网络 I/O;
    进一步的影响要求类路径中有副作用的第三方 FileSystemProvider。这会影响之前2.18.10、之前2.19.02.21.6和之前的 2.22.22.22.0 com.fasterxml.jackson.core：jackson-databind2.8.0，以及之前和3.2.23.2.0之前的 tools.jackson.core：jackson-databind。3.0.03.1.6 用户应升级到 2.18.10、 、 2.21.62.22.23.1.6或 3.2.2。无论版本如何，应避免从不受信任的 JSON 绑定 java.nio.file.Path。（CVE-2026-19032）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - jackson-databind 的 java.nio.file.Path 還原序列化程式可在不限制 URI 配置的情況下解析攻擊者提供的 URI。在 JDKFromStringDeserializer.NioPathHelper.deserialize 中，從不受信任的 JSON 繫結的字串會傳遞至新 URI（value），然後傳遞至 Path.of（uri）。擲回 FileSystemNotFoundException 時，程式碼會列舉 ServiceLoader<FileSystemProvider> ，並在配置符合攻擊者選擇配置的第一個提供者上呼叫 provider.getPath（uri）。因此，不受信任的 JSON 可以在預設 JsonMapper 下的 readValue 期間選取並驅動任意已註冊的 FileSystemProvider，並同時強制載入提供者類別。如果只有 JDK 內建提供者 （file、jar/zipfs） 存在，則解析的路徑是惰性的，不會發生掛載或網路 I/O;
    進一步的影響需要在類別路徑上有一個副作用的第三方 FileSystemProvider。這會影響 com.fasterxml.jackson.core：jackson-databind from 2.8.0 before ， from 2.19.0 before 2.21.6和 2.22.22.22.0 from before ，以及 tools.jackson.core：jackson-databind 3.1.63.0.0 from before 和 3.2.0 from before3.2.2。2.18.10 使用者應升級至 2.18.10、 2.21.6、 2.22.23.1.6、 或 3.2.2。無論版本為何，都應避免從不受信任的 JSON 綁定 java.nio.file.Path。（CVE-2026-19032）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jackson-databindのjava.nio.file.Path用デシリアライザーは、URIスキームを制限せずに攻撃者指定のURIを解決します。JDKFromStringDeserializer.NioPathHelper.deserializeでは、信頼できないJSONからバインドされた文字列が新しいURI(値)に渡され、次にPath.of(uri)に渡されます。これにより FileSystemNotFoundException がスローされると、コードは ServiceLoader を列挙し<FileSystemProvider> スキームが攻撃者の選択したスキームに一致する最初のプロバイダーで provider.getPath(uri) を呼び出します。このため、信頼できない JSON が、デフォルトの JsonMapper の readValue 中に任意の登録済み FileSystemProvider を選択して駆動し、同時にプロバイダークラスのロードを強制する可能性があります。JDK ビルトインプロバイダー (file、jar/zipfs) のみが存在する場合、解決されたパスは不活性であり、マウントまたはネットワーク I/O は発生しません。
    さらに影響を及ぼすには、クラスパスに副作用のあるサードパーティの FileSystemProvider が必要です。これは、2.18.10より前の2.8.0、2.21.6より前の2.19.0、2.22.2より前の2.22.0のcom.fasterxml.jackson.core:jackson-databind、3.1.6より前の3.0.0、3.2.2より前の3.2.0のtools.jackson.core:jackson-databindに影響します。ユーザーは、 2.18.10、 2.21.6、 2.22.2、 3.1.6、または 3.2.2 にアップグレードする必要があります。信頼できない JSON からの java.nio.file.Path のバインドは、バージョンに関わらず避ける必要があります。(CVE-2026-19032)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0cb401f9-9f19-11f1-a655-3497f65b111b のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ジャクソンプロジェクトは次のように報告しています。
    PolymorphicTypeValidator は、ジェネリックタイプのパラメーターも検証する必要があります BasicPolymorphicTypeValidator の設定 allowIfSubTypeIsArray() は要素タイプを検証する必要があります 安全でないポリモーフィックベースのタイプのセットで java.lang.Comparable を追加 @JsonView @JsonUnwrapped フィールド/セッタープロパティに対してバイパスされる @JsonView 一部のセッターレスクリエイタープロパティに対してバイパスされます ラップされていない作成者パラメーターに対してバイパスされる@JsonView 外部タイプ ID(EXTERNAL_PROPERTY)プロパティの@JsonViewを遵守します @JsonIgnore セッターの名前を変更しましたプライベートフィールドを介して逆シリアル化する可能性があります PropertyNamingStrategy で無視される Record プロパティ@JsonIgnore 大文字と小文字を区別しない逆シリアル化は、間違った@JsonIgnorePropertiesを使用する可能性があります InetAddress の逆シリアル化時に DNS 解決を許可しない InetSocketAddress の逆シリアル化を改善 java.nio.file.Path 逆シリアル化のためにサポートされている URL スキームを制限する StreamReadConstraints 番号 len 制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 0cb401f9-9f19-11f1-a655-3497f65b111b advisory.

    The Jackson project reports:
    PolymorphicTypeValidator needs to validate generic type               parameters too     BasicPolymorphicTypeValidator setting allowIfSubTypeIsArray()               should validate element type     Add java.lang.Comparable in set of unsafe polymorphic base               types     @JsonView by-passed for @JsonUnwrapped Field/Setter               properties     @JsonView by-passed for some setterless creator               properties     @JsonView by-passed for unwrapped creator parameters     Honor @JsonView for external-type-id (EXTERNAL_PROPERTY)               properties     Renamed @JsonIgnore'd setters can deserialize via private               fields     @JsonIgnore on Record property ignored with               PropertyNamingStrategy     Case-insensitive deserialization may use wrong               @JsonIgnoreProperties     Do not allow DNS resolution when deserializing               InetAddress     Improve InetSocketAddress deserialization     Limit the supported URL schemes for java.nio.file.Path               deserialization     Add StreamReadConstraints number len constraint to               javax.xml.datatype.XMLGregorianCalendar and               javax.xml.datatype.Duration

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - jackson-databind's deserializer for java.nio.file.Path resolves an attacker-supplied URI without     restricting the URI scheme. In JDKFromStringDeserializer.NioPathHelper.deserialize, a string bound from     untrusted JSON is passed to new URI(value) and then to Path.of(uri). When that throws     FileSystemNotFoundException, the code enumerates ServiceLoader<FileSystemProvider> and calls     provider.getPath(uri) on the first provider whose scheme matches the attacker-chosen scheme. Untrusted     JSON can therefore select and drive an arbitrary registered FileSystemProvider during readValue under a     default JsonMapper, and forces provider class loading at the same time. With only the JDK built-in     providers (file, jar/zipfs) present, the resolved path is inert and no mount or network I/O occurs;
    further impact requires a side-effecting third-party FileSystemProvider on the classpath. This affects     com.fasterxml.jackson.core:jackson-databind from 2.8.0 before 2.18.10, from 2.19.0 before 2.21.6, and from     2.22.0 before 2.22.2, and tools.jackson.core:jackson-databind from 3.0.0 before 3.1.6 and from 3.2.0     before 3.2.2. Users should upgrade to 2.18.10, 2.21.6, 2.22.2, 3.1.6, or 3.2.2. Binding java.nio.file.Path     from untrusted JSON should be avoided regardless of version. (CVE-2026-19032)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
342268	Linux Distros 未修补的漏洞：CVE-2026-19032	Nessus	Misc.	2026/9/2	2026/9/7	medium
342268	Linux Distros 未修補弱點：CVE-2026-19032	Nessus	Misc.	2026/9/2	2026/9/7	medium
342268	Linux Distros のパッチ未適用の脆弱性: CVE-2026-19032	Nessus	Misc.	2026/9/2	2026/9/7	medium
339070	FreeBSD:jackson-databind -- 複数の脆弱性(0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
339070	FreeBSD : jackson-databind -- multiple vulnerabilities (0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
342268	Linux Distros Unpatched Vulnerability : CVE-2026-19032	Nessus	Misc.	2026/9/2	2026/9/7	medium

检测

插件搜索

medium

medium

medium

high

high

medium