There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - NumberInput.looksLikeValidNumber() in FasterXML jackson-core pre-validates "stringified numbers" with two
    regular expressions: PATTERN_FLOAT ([+-]?[0-9]*[\.]?[0-9]+([eE][+-]?[0-9]+)?), present since 2.17.0, and
    PATTERN_FLOAT_TRAILING_DOT, added in 2.17.2. PATTERN_FLOAT places adjacent quantifiers over the same
    character class -- an optional [0-9]* run, an optional dot, then a required [0-9]+ run -- so input that
    ultimately fails to match forces Java's backtracking engine to retry every possible split point of the
    digit run. Matching cost therefore grows with the square of the input length. An attacker who can supply
    JSON that an application deserializes into a numeric target type reaches this method through jackson-
    databind's default String-to-number coercion (StdDeserializer and NumberDeserializers for BigDecimal,
    BigInteger, Double and Float). Because StreamReadConstraints.maxStringLength defaults to 20,000,000
    characters, no constraint bounds the input before it reaches the regex. Testing by the reporter confirmed
    O(n^2) growth across five consecutive input-size doublings, with a single 160,000-character string
    consuming roughly 74 seconds in one call; a small number of concurrent requests of ordinary body size can
    therefore exhaust a server's request-handling thread pool. The affected method does not exist before
    2.17.0, so 2.16.x and earlier releases are not affected. The fix replaces both regular expressions with a
    hand-rolled single-pass scan. (CVE-2026-89407)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - FasterXML 中的 NumberInput.looksLikeValidNumber（） jackson-core 會使用兩個規則運算式預先驗證字串化數字：PATTERN_FLOAT （[+-]？[0-9]*[\.]?[0-9]+（[eE][+-]？[0-9]+）？），自 和 2.17.0PATTERN_FLOAT_TRAILING_DOT 中新增。2.17.2 PATTERN_FLOAT 將相鄰的量詞放在相同的字元類別上 -- 可選的 [0-9]* 執行，可選的點，然後是必要的 [0-9]+ 執行 -- 因此最終無法匹配的輸入會強制 Java 的回溯引擎重試數字執行的每個可能的分割點。因此，比對成本會隨著輸入長度的平方而增加。能夠提供應用程式還原序列化為數值目標類型的 JSON 的攻擊者會透過 jackson-databind 的預設字串到數字強制 （BigDecimal、BigInteger、Double 和 Float） 的 StdDeserializer 和 NumberDeserializers 來達到此方法。由於 StreamReadConstraints.maxStringLength 預設為 20,000,000 個字元，因此在輸入到達正則運算式之前，沒有任何條件約束會限制輸入。記者的測試證實，在連續五次輸入大小加倍中，O（n^2） 增長，單個 160,000 個字符的字符串在一次調用中消耗大約 74 秒;因此，少量具有一般內文大小的並行要求可能會耗盡伺服器的要求處理執行緒集區。受影響的方法之前 2.17.0不存在，因此 2.16.x 和更早版本不受影響。此修正將這兩個規則運算式替換為手捲單程掃描。CVE-2026-89407

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - FasterXML 中的 NumberInput.looksLikeValidNumber（） jackson-core 使用两个正则表达式预先验证字符串化数字：PATTERN_FLOAT （[+-]？[0-9]*[\.]?[0-9]+（[eE][+-]？[0-9]+）？），自 2.17.0和 PATTERN_FLOAT_TRAILING_DOT 中 2.17.2添加，在 中添加。PATTERN_FLOAT将相邻的限定符放在同一个字符类上——可选的 [0-9]* 运行，可选的点，然后是必需的 [0-9]+ 运行，因此最终匹配失败的输入会强制 Java 的回溯引擎重试数字运行的所有可能拆分点。因此，匹配成本随着输入长度的平方而增长。能够提供应用程序反序列化为数值目标类型的 JSON 的攻击者会通过 jackson-databind 的默认字符串到数字强制（用于 BigDecimal、BigInteger、Double 和 Float 的 StdDeserializer 和 NumberDeserializers）达到此方法。由于 StreamReadConstraints.maxStringLength 默认为 20,000,000 个字符，因此在输入到达 regex 之前没有限制限制输入。报告者的测试证实，O（n^2） 在连续五次输入大小翻倍期间增长，单个 160,000 个字符的字符串在一次调用中消耗大约 74 秒;因此，少量普通正文大小的并发请求可耗尽服务器的请求处理线程池。受影响的方法之前 2.17.0不存在，因此 2.16.x 和较早的版本不受影响。此补丁将这两个正则表达式替换为手动滚动的单通道扫描。（CVE-2026-89407）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，它會受到 ALAS2023-2026-3188 公告中所提及的多個弱點影響。

    FasterXML 中的 NumberInput.looksLikeValidNumber（） jackson-core 使用兩個規則運算式預先驗證字串化數字：PATTERN_FLOAT （[+-]？[0-9]*[\.]?[0-9]+（[eE][+-]？[0-9]+）？），自 和 2.17.0PATTERN_FLOAT_TRAILING_DOT 中新增。2.17.2 PATTERN_FLOAT 將相鄰的量詞放在相同的字元類別上 -- 可選的 [0-9]* 執行，可選的點，然後是必要的 [0-9]+ 執行 -- 因此最終無法匹配的輸入會強制 Java 的回溯引擎重試數字執行的每個可能的分割點。

    因此，比對成本會隨著輸入長度的平方而增加。

    能夠提供應用程式還原序列化為數值目標類型的 JSON 的攻擊者會透過 jackson-databind 的預設字串到數字強制 （BigDecimal、BigInteger、Double 和 Float） 的 StdDeserializer 和 NumberDeserializers 來達到此方法。

    由於 StreamReadConstraints.maxStringLength 預設為 20,000,000 個字元，因此在輸入到達正則運算式之前，沒有任何條件約束會限制輸入。

    記者的測試證實，在連續五次輸入大小加倍中，O（n^2） 增長，單個 160,000 個字符的字符串在一次調用中消耗大約 74 秒;因此，少量具有一般內文大小的並行要求可能會耗盡伺服器的要求處理執行緒集區。

    受影響的方法之前 2.17.0不存在，因此 2.16.x 和更早版本不受影響。

    此修正將這兩個規則運算式替換為手捲單程掃描。CVE-2026-89407

    FasterXML 中的 UTF8DataInputJsonParser._reportInvalidToken（） jackson-core 透過在沒有上限的迴圈中將Java識別碼字元附加到 StringBuilder，為其錯誤訊息建立違規標記文字。與包括 UTF8StreamJsonParser 在內的三個同級剖析器實作不同，它從不諮詢 ErrorReportConfiguration.getMaxErrorTokenLength（） （預設值 256）。因此，提供給透過 JsonFactory.createParser（DataInput） 建立的剖析器時，格式錯誤的權杖會完整累積。沒有 StreamReadConstraints 設定可減輕此問題：maxDocumentLength 完全無法套用至 DataInput 來源，而且 maxStringLength 不會涵蓋此路徑，因為累積會繞過 ReadConstrainedTextBuffer。報告者從 DataInput 路徑上 20,000,109 個字元的格式錯誤令牌中測量了 20,000,109 個字元的例外訊息，而 InputStream 路徑上相同輸入則為 367 個字元。擴展承載會驅動 StringBuilder （這也會導致位元組到字元的擴展和內部陣列加倍），達到原始承載大小的許多倍，並可能觸發整個 JVM 的 OutOfMemoryError。UTF8DataInputJsonParser 與 createParser（DataInput） 一起引入 2.8.0 ;
    之前2.8.0的版本不包含受影響的類別。CVE-2026-89425

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，该软件受到 ALAS2023-2026-3188 公告中提及的多个漏洞影响。

    FasterXML 中的 NumberInput.looksLikeValidNumber（） jackson-core 使用两个正则表达式预验证字符串化数字：PATTERN_FLOAT （[+-]？[0-9]*[\.]?[0-9]+（[eE][+-]？[0-9]+）？），自 2.17.0和 PATTERN_FLOAT_TRAILING_DOT 中 2.17.2添加，在 中添加。PATTERN_FLOAT将相邻的限定符放在同一个字符类上——可选的 [0-9]* 运行，可选的点，然后是必需的 [0-9]+ 运行，因此最终匹配失败的输入会强制 Java 的回溯引擎重试数字运行的所有可能拆分点。

    因此，匹配成本随着输入长度的平方而增长。

    能够提供应用程序反序列化为数值目标类型的 JSON 的攻击者会通过 jackson-databind 的默认字符串到数字强制（用于 BigDecimal、BigInteger、Double 和 Float 的 StdDeserializer 和 NumberDeserializers）达到此方法。

    由于 StreamReadConstraints.maxStringLength 默认为 20,000,000 个字符，因此在输入到达 regex 之前没有限制限制输入。

    报告者的测试证实，O（n^2） 在连续五次输入大小翻倍期间增长，单个 160,000 个字符的字符串在一次调用中消耗大约 74 秒;因此，少量普通正文大小的并发请求可耗尽服务器的请求处理线程池。

    受影响的方法之前 2.17.0不存在，因此 2.16.x 和较早的版本不受影响。

    此补丁将这两个正则表达式替换为手动滚动的单通道扫描。（CVE-2026-89407）

    FasterXML 中的 UTF8DataInputJsonParser._reportInvalidToken（） jackson-core 通过在无上限的循环中将 Java 标识符附加到 StringBuilder，为其错误消息构建有问题的标记文本。与包括 UTF8StreamJsonParser 在内的三个同级解析器实现不同，它从不查阅 ErrorReportConfiguration.getMaxErrorTokenLength（）（默认值 256）。因此，提供给通过 JsonFactory.createParser（DataInput） 创建的解析器的畸形标记会完全累积。No StreamReadConstraints 设置可缓解此问题：maxDocumentLength 根本无法应用于 DataInput 源，且 maxStringLength 没有覆盖此路径，因为累积会绕过 ReadConstrainedTextBuffer。报告者从 DataInput 路径上 2000 万个字符的畸形标记测量了一条 20,000,109 个字符的异常消息，而 InputStream 路径上相同输入则为 367 个字符。扩展负载会将 StringBuilder（这还会产生字节到字符扩展和内部数组翻倍）驱动原始负载大小的许多倍，并且可触发整个 JVM 的 OutOfMemoryError。UTF8DataInputJsonParser 与 createParser（DataInput） 一起引入 2.8.0 ;
    之前 2.8.0 的版本不包含受影响的类。（CVE-2026-89425）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22034-1 アドバイザリで言及されています。

    - CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
    - CVE-2026-19032:「java.nio.file.Path」のデシリアライザーが、URI スキーマを制限せずに攻撃者が指定した URI を解決します(bsc#1277883)。
    - CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
    - CVE-2026-68497:このため、認証されていない攻撃者が、数メガバイト(bsc#1280125)の単一のリクエストを送信する可能性があります。
    - CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
    - CVE-2026-83557:不完全な「PolymorphicTypeValidator」拒否リストにより、任意の「比較可能な」逆シリアル化が可能になります(bsc#1278008)。
    - CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
    - CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。
    - CVE-2026-91776:「TypeDeserializerBase._findDeserializer()」は、解決された逆シリアル化子を、攻撃者が指定した未加工のタイプ ID の下にキャッシュします。これにより、特定の構成で、キャッシュが際限なく増加する可能性があります(bsc#1282491)。
    - CVE-2026-91777:「@JsonIdentityInfo」オブジェクト ID の前方参照完了は、解決されたすべての ID について保留中の参照アキュムレーターの線形スキャンを実行します。これにより、逆シリアル化中に CPU の二次仕事が発生する可能性があります(bsc#1282492)。

    jackson-annotations の変更:

    - 2.18.11 への更新

    jackson-core の変更:

    - 2.18.11 への更新
     * #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
     * #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
     * #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
     * #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します

    jackson-databind の変更点:

    - 2.18.11 への更新
     * #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
     * #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
     * #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
     * #6099:TypeFactory.findClass() で初期化なしのクラスを解決
     * #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
     * #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
     * #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
     * #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
     * #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-3188 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    FasterXML jackson-core の NumberInput.looksLikeValidNumber() は、2 つの正規表現で文字列化された数値を事前に検証します: PATTERN_FLOAT ([+-]?[0-9]*[\.]?[0-9]+([eE][+-]?[0-9]+)?)、 2.17.0 年以降に存在し、PATTERN_FLOAT_TRAILING_DOT、 2.17.2 年に追加されました。PATTERN_FLOAT、同じ文字クラスに隣接する修飾子を配置するため -- オプションの [0-9]* 実行、オプションのドット、そして必須の [0-9]+ 実行 -- したがって、最終的に一致しない入力は、Java のバックトラッキングエンジンに、桁実行の可能性のあるすべての分割ポイントを再試行させます。

    したがって、マッチングコストは入力の長さの2乗とともに増加します。

    アプリケーションが数値ターゲット型に逆シリアル化するJSONを供給できる攻撃者は、jackson-databindのデフォルトの文字列から数字への強制(BigDecimal、BigInteger、Double、Floatの場合はStdDeserializerとNumberDeserializers)を使用してこのメソッドに到達します。

    StreamReadConstraints.maxStringLength の既定値は 20,000,000 文字であるため、正規表現に到達するまで入力を制限する制約はありません。

    報告者によるテストでは、5 回の連続した入力サイズ倍増で O(n^2) が増加し、1 つの 160,000 文字の文字列が 1 回の呼び出しで約 74 秒を費やすことが確認されました。通常の本文サイズの少数の同時リクエストは、サーバーのリクエスト処理スレッドプールを使い果たす可能性があります。

    影響を受けるメソッドは 2.17.0 以前には存在しないため、 2.16.x 以前のリリースは影響を受けません。

    この修正は、両方の正規表現を手動ロールシングルパススキャンに置き換えます。 (CVE-2026-89407)

    FasterXML jackson-core の UTF8DataInputJsonParser._reportInvalidToken() は、上限がないループの StringBuilder にJava識別子文字を追加することで、そのエラーメッセージに対する問題トークンテキストを構築します。UTF8StreamJsonParser を含む 3 つの兄弟パーサーの実装とは異なり、ErrorReportConfiguration.getMaxErrorTokenLength() (デフォルトは 256) とは決して参照しません。したがって、JsonFactory.createParser(DataInput) を通じて作成されたパーサーに提供された無効な形式のトークンがフル累積されます。StreamReadConstraints設定なしは、maxDocumentLengthをDataInputソースにまったく適用できません。累積がReadConstrainedTextBufferをバイパスするため、maxStringLengthはこのパスをカバーしません。報告者は、DataInput パス上の 2,000 万文字の無効な形式のトークンからの 20,000,109 文字の例外メッセージを、InputStream パス上の同一の入力では 367 文字と測定しました。ペイロードをスケーリングすると、StringBuilder がドライブされ、これもバイトから文字への拡張および内部配列の倍増が発生しますが、生のペイロードサイズの何倍にもなり、JVM 全体で OutOfMemoryError が発生する可能性があります。UTF8DataInputJsonParser は、createParser(DataInput) とともに 2.8.0 で導入されました。
    2.8.0 より前のリリースには、影響を受けるクラスは含まれていません。 (CVE-2026-89425)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4394-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
    - CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
    - CVE-2026-68495:CBOR パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282639)。
    - CVE-2026-68496:Smile パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282640)。
    - CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
    - CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
    - CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。

    jackson-annotations の変更:

    - 2.18.11 への更新

    jackson-bom の変更:

    - 2.18.11 への更新

    jackson-core の変更:

    - 2.18.11 への更新
     * #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
     * #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
     * #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
     * #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します

    jackson-databind の変更点:

    - 2.18.11 への更新
     * #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
     * #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
     * #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
     * #6099:TypeFactory.findClass() で初期化なしのクラスを解決
     * #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
     * #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
     * #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
     * #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
     * #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します

    jackson-dataformat-xml に対する変更:

    - 2.18.11 への更新
     * past-JDK-8 バイトコードの生成を回避するためにビルドを修正します
     * #891:FromXmlParser で StreamReadConstraints.maxNestingDepth を強制します

    jackson-dataformats-binary の変更:

    - 2.18.11 への更新
     * #783:(protobuf)ProtobufParser の StreamReadConstraints.maxDocumentLength をサポートします
     * #785:(avro)Avro パーサーにおいて StreamReadConstraints.maxDocumentLength および maxTokenCount をサポートします
     * #803:(ion)Ion パーサーの StreamReadConstraints.maxNestingDepth をサポートします( #358 の部分的修正)
     * #805:(ion)Ion パーサーの StreamReadConstraints.maxDocumentLength をサポートします( #358 の部分的修正)
     * #725:(cbor)CBOR パーサーに対して強制された maxNameLength 制限を確実に実施する(bsc#1282639、 CVE-2026-68495)
     * #726:(smile)Smile パーサーに対して強制された maxNameLength 制限を確実に実行します(bsc#1282640、 CVE-2026-68496)
     * #727:(cbor)CBORParser.nextFieldName(SerializableString) が、5 ビット長のマーカー 23 と 24 を混同します(「1 バイト長のサフィックスが続く」)
     * #728:(cbor)CBORParser.nextFieldName(SerializableString) が、ファストパスのミスでオブジェクトエントリスロットを 2 回消費し、特定の長さのオブジェクトを切り捨てます
     * #733:(cbor)長い「文字列」が「stringref」参照テーブルに追加されず、以下の参照が破損します
     * #735:(cbor)「stringref」property-name パスが、実際の長さの代わりに 5 ビットの長さのマーカーを shouldReferenceString() に渡します
     * #736:(cbor)Long Object プロパティ名が「stringref」参照テーブルに 2 回追加されました

    jackson-modules-base の変更:

    - 2.18.11 への更新

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - FasterXML jackson-core の NumberInput.looksLikeValidNumber() は、2 つの正規表現で文字列化された数値を事前に検証します: PATTERN_FLOAT ([+-]?[0-9]*[\.]?[0-9]+([eE][+-]?[0-9]+)?)、 2.17.0 年以降に存在し、PATTERN_FLOAT_TRAILING_DOT、 2.17.2 年に追加されました。PATTERN_FLOAT、同じ文字クラスに隣接する修飾子を配置するため -- オプションの [0-9]* 実行、オプションのドット、そして必須の [0-9]+ 実行 -- したがって、最終的に一致しない入力は、Java のバックトラッキングエンジンに、桁実行の可能性のあるすべての分割ポイントを再試行させます。したがって、マッチングコストは入力の長さの2乗とともに増加します。アプリケーションが数値ターゲット型に逆シリアル化するJSONを供給できる攻撃者は、jackson-databindのデフォルトの文字列から数字への強制(BigDecimal、BigInteger、Double、Floatの場合はStdDeserializerとNumberDeserializers)を使用してこのメソッドに到達します。StreamReadConstraints.maxStringLength の既定値は 20,000,000 文字であるため、正規表現に到達するまで入力を制限する制約はありません。報告者によるテストでは、5 回の連続した入力サイズ倍増で O(n^2) が増加し、1 つの 160,000 文字の文字列が 1 回の呼び出しで約 74 秒を費やすことが確認されました。通常の本文サイズの少数の同時リクエストは、サーバーのリクエスト処理スレッドプールを使い果たす可能性があります。影響を受けるメソッドは 2.17.0 以前には存在しないため、 2.16.x 以前のリリースは影響を受けません。この修正は、両方の正規表現を手動ロールシングルパススキャンに置き換えます。 (CVE-2026-89407)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4394-1 advisory.

    - CVE-2026-18401: Number Length Constraint Bypass in Async Parser Can Lead to Potential Processing Time     Issues       (bsc#1273856).
    - CVE-2026-68494: Async parser maxNumberLength bypass via chunked digit accumulation (bsc#1273857).
    - CVE-2026-68495: Ensure maxNameLength limit enforced for CBOR parser (bsc#1282639).
    - CVE-2026-68496: Ensure maxNameLength limit enforced for Smile parser (bsc#1282640).
    - CVE-2026-68498: Enforce maxNameLength incrementally in ReaderBasedJsonParser (bsc#1282641).
    - CVE-2026-89407: Optimize NumberInput.looksLikeValidNumber (bsc#1282645).
    - CVE-2026-89425: `UTF8DataInputJsonParser._reportInvalidToken()`lacks `maxErrorTokenLength` limit, which     allows for       unbounded `StringBuilder` growth and can lead to a DoS when malformed tokens are processed     (bsc#1282505).

    Changes for jackson-annotations:

    - Update to 2.18.11

    Changes for jackson-bom:

    - Update to 2.18.11

    Changes for jackson-core:

    - Update to 2.18.11
     * #1649: Optimize NumberInput.looksLikeValidNumber (bsc#1282645,      CVE-2026-89407)
     * #1698: UTF8DataInputJsonParser does not honor      maxErrorTokenLength when reporting an unrecognized token      (bsc#1282505, CVE-2026-89425)
     * #1642: Fix maxDocumentLength bypass in async parser      single-feedInput() case [GHSA-2c4j-63jj-9fqr]
     * #1643: Enforce maxNameLength incrementally in      ReaderBasedJsonParser (bsc#1282641, CVE-2026-68498)      of async parser (bsc#1273857, CVE-2026-68494)      non-blocking (async) parser (bsc#1273856, CVE-2026-18401)

    Changes for jackson-databind:

    - Update to 2.18.11
     * #6185: Bracket unresolved IPv6 host name in InetSocketAddress      serialization
     * #6203: Prevent unbounded growth of type id cache in      TypeDeserializer (bsc#1282491, CVE-2026-91776)
     * #6204: Avoid quadratic forward-reference resolution in      Collection/Map deserializers (bsc#1282492, CVE-2026-91777)
     * #6099: Resolve classes without initialization in      TypeFactory.findClass()
     * #6116: Reject non-ASCII digits in InetAddress literal validation
     * #6127: Add StreamReadConstraints number len constraint to      javax.xml.datatype.XMLGregorianCalendar and      javax.xml.datatype.Duration (bsc#1280125, CVE-2026-68497)
     * #6129: Limit the supported URL schemes for java.nio.file.Path      deserialization (bsc#1277883, CVE-2026-19032)
     * #6156: Add java.lang.Comparable in set of unsafe polymorphic      base types (bsc#1278008, CVE-2026-83557)
     * #6165: Apply number length limits to BigDecimal/BigInteger/      /Double/Float Map keys

    Changes for jackson-dataformat-xml:

    - Update to 2.18.11
     * Fix build to avoid past-JDK-8 bytecode generation
     * #891: Enforce StreamReadConstraints.maxNestingDepth in      FromXmlParser

    Changes for jackson-dataformats-binary:

    - Update to 2.18.11
     * #783: (protobuf) Support StreamReadConstraints.maxDocumentLength      in ProtobufParser
     * #785: (avro) Support StreamReadConstraints.maxDocumentLength and      maxTokenCount in Avro parser
     * #803: (ion) Support StreamReadConstraints.maxNestingDepth in Ion      parser (partial fix for #358)
     * #805: (ion) Support StreamReadConstraints.maxDocumentLength in      Ion parser (partial fix for #358)
     * #725: (cbor) Ensure maxNameLength limit enforced for CBOR parser      (bsc#1282639, CVE-2026-68495)
     * #726: (smile) Ensure maxNameLength limit enforced for Smile      parser (bsc#1282640, CVE-2026-68496)
     * #727: (cbor) CBORParser.nextFieldName(SerializableString)      confuses 5-bit length marker 23 with 24 ('1-byte length suffix      follows')
     * #728: (cbor) CBORParser.nextFieldName(SerializableString)      consumes Object entry slot twice on fast-path miss, truncating      definite-length Objects
     * #733: (cbor) Long `String`s not added to 'stringref' reference      table, breaking following references
     * #735: (cbor) 'stringref' property-name paths pass 5-bit length      marker instead of actual length to shouldReferenceString()
     * #736: (cbor) Long Object property names added to 'stringref'      reference table twice

    Changes for jackson-modules-base:

    - Update to 2.18.11

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - NumberInput.looksLikeValidNumber() in FasterXML jackson-core pre-validates stringified numbers with two     regular expressions: PATTERN_FLOAT ([+-]?[0-9]*[\.]?[0-9]+([eE][+-]?[0-9]+)?), present since 2.17.0, and     PATTERN_FLOAT_TRAILING_DOT, added in 2.17.2. PATTERN_FLOAT places adjacent quantifiers over the same     character class -- an optional [0-9]* run, an optional dot, then a required [0-9]+ run -- so input that     ultimately fails to match forces Java's backtracking engine to retry every possible split point of the     digit run. Matching cost therefore grows with the square of the input length. An attacker who can supply     JSON that an application deserializes into a numeric target type reaches this method through jackson-     databind's default String-to-number coercion (StdDeserializer and NumberDeserializers for BigDecimal,     BigInteger, Double and Float). Because StreamReadConstraints.maxStringLength defaults to 20,000,000     characters, no constraint bounds the input before it reaches the regex. Testing by the reporter confirmed     O(n^2) growth across five consecutive input-size doublings, with a single 160,000-character string     consuming roughly 74 seconds in one call; a small number of concurrent requests of ordinary body size can     therefore exhaust a server's request-handling thread pool. The affected method does not exist before     2.17.0, so 2.16.x and earlier releases are not affected. The fix replaces both regular expressions with a     hand-rolled single-pass scan. (CVE-2026-89407)

Note that Nessus relies on the presence of the package as reported by the vendor.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-3188 advisory.

    NumberInput.looksLikeValidNumber() in FasterXML jackson-core pre-validates stringified numbers with two     regular expressions: PATTERN_FLOAT ([+-]?[0-9]*[\.]?[0-9]+([eE][+-]?[0-9]+)?), present since 2.17.0, and     PATTERN_FLOAT_TRAILING_DOT, added in 2.17.2. PATTERN_FLOAT places adjacent quantifiers over the same     character class -- an optional [0-9]* run, an optional dot, then a required [0-9]+ run -- so input that     ultimately fails to match forces Java's backtracking engine to retry every possible split point of the     digit run.

    Matching cost therefore grows with the square of the input length.

    An attacker who can supply JSON that an application deserializes into a numeric target type reaches this     method through jackson-databind's default String-to-number coercion (StdDeserializer and     NumberDeserializers for BigDecimal, BigInteger, Double and Float).

    Because StreamReadConstraints.maxStringLength defaults to 20,000,000 characters, no constraint bounds the     input before it reaches the regex.

    Testing by the reporter confirmed O(n^2) growth across five consecutive input-size doublings, with a     single 160,000-character string consuming roughly 74 seconds in one call; a small number of concurrent     requests of ordinary body size can therefore exhaust a server's request-handling thread pool.

    The affected method does not exist before 2.17.0, so 2.16.x and earlier releases are not affected.

    The fix replaces both regular expressions with a hand-rolled single-pass scan. (CVE-2026-89407)

    UTF8DataInputJsonParser._reportInvalidToken() in FasterXML jackson-core builds the offending-token text     for its error message by appending Java identifier characters to a StringBuilder in a loop that has no     upper bound. Unlike the three sibling parser implementations, including UTF8StreamJsonParser, it never     consults ErrorReportConfiguration.getMaxErrorTokenLength() (default 256). A malformed token supplied to a     parser created through JsonFactory.createParser(DataInput) is therefore accumulated in full. No     StreamReadConstraints setting mitigates this: maxDocumentLength cannot be applied to DataInput sources at     all, and maxStringLength does not cover this path because the accumulation bypasses     ReadConstrainedTextBuffer. The reporter measured a 20,000,109-character exception message from a     20-million-character malformed token on the DataInput path, against 367 characters for identical input on     the InputStream path. Scaling the payload drives the StringBuilder, which also incurs byte-to-char     expansion and internal array doubling, to many times the raw payload size and can trigger OutOfMemoryError     for the whole JVM. UTF8DataInputJsonParser was introduced in 2.8.0 together with createParser(DataInput);
    releases before 2.8.0 do not contain the affected class. (CVE-2026-89425)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:22034-1 advisory.

    - CVE-2026-18401: Number Length Constraint Bypass in Async Parser Can Lead to Potential Processing Time     Issues       (bsc#1273856).
    - CVE-2026-19032: deserializer for `java.nio.file.Path` resolves attacker-supplied URIs without     restricting the URI       scheme (bsc#1277883).
    - CVE-2026-68494: Async parser maxNumberLength bypass via chunked digit accumulation (bsc#1273857).
    - CVE-2026-68497: An unauthenticated attacker can therefore submit a single request of a few megabytes     (bsc#1280125).
    - CVE-2026-68498: Enforce maxNameLength incrementally in ReaderBasedJsonParser (bsc#1282641).
    - CVE-2026-83557: incomplete `PolymorphicTypeValidator` denylist allows for arbitrary `Comparable`     deserialization       (bsc#1278008).
    - CVE-2026-89407: Optimize NumberInput.looksLikeValidNumber (bsc#1282645).
    - CVE-2026-89425: `UTF8DataInputJsonParser._reportInvalidToken()`lacks `maxErrorTokenLength` limit, which     allows for       unbounded `StringBuilder` growth and can lead to a DoS when malformed tokens are processed     (bsc#1282505).
    - CVE-2026-91776: `TypeDeserializerBase._findDeserializer()` caches the resolved deserializer under the     raw, attacker-       supplied type ID, which can lead to unbounded cache growth under certain configurations (bsc#1282491).
    - CVE-2026-91777: forward-reference completion for `@JsonIdentityInfo` object IDs performs a linear scan     of the pending-       reference accumulator for every resolved ID, which can lead to quadratic CPU work during deserialization       (bsc#1282492).

    Changes for jackson-annotations:

    - Update to 2.18.11

    Changes for jackson-core:

    - Update to 2.18.11
     * #1649: Optimize NumberInput.looksLikeValidNumber (bsc#1282645,      CVE-2026-89407)
     * #1698: UTF8DataInputJsonParser does not honor      maxErrorTokenLength when reporting an unrecognized token      (bsc#1282505, CVE-2026-89425)
     * #1642: Fix maxDocumentLength bypass in async parser      single-feedInput() case [GHSA-2c4j-63jj-9fqr]
     * #1643: Enforce maxNameLength incrementally in      ReaderBasedJsonParser (bsc#1282641, CVE-2026-68498)      of async parser (bsc#1273857, CVE-2026-68494)      non-blocking (async) parser (bsc#1273856, CVE-2026-18401)

    Changes for jackson-databind:

    - Update to 2.18.11
     * #6185: Bracket unresolved IPv6 host name in InetSocketAddress      serialization
     * #6203: Prevent unbounded growth of type id cache in      TypeDeserializer (bsc#1282491, CVE-2026-91776)
     * #6204: Avoid quadratic forward-reference resolution in      Collection/Map deserializers (bsc#1282492, CVE-2026-91777)
     * #6099: Resolve classes without initialization in      TypeFactory.findClass()
     * #6116: Reject non-ASCII digits in InetAddress literal validation
     * #6127: Add StreamReadConstraints number len constraint to      javax.xml.datatype.XMLGregorianCalendar and      javax.xml.datatype.Duration (bsc#1280125, CVE-2026-68497)
     * #6129: Limit the supported URL schemes for java.nio.file.Path      deserialization (bsc#1277883, CVE-2026-19032)
     * #6156: Add java.lang.Comparable in set of unsafe polymorphic      base types (bsc#1278008, CVE-2026-83557)
     * #6165: Apply number length limits to BigDecimal/BigInteger/      /Double/Float Map keys

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
471598	Echo: com.fasterxml.jackson.core:jackson-core, tools.jackson.core:jackson-core: security update to 2.18.11	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/3	2026/10/13	high
471598	Echo: com.fasterxml.jackson.core:jackson-core, tools.jackson.core:jackson-core: security update to 2.18.11	Tenable Cloud Security	Echo Local Security Checks	2026/10/3	2026/10/13	high
349353	Linux Distros 未修補弱點：CVE-2026-89407	Nessus	Misc.	2026/9/23	2026/10/15	high
349353	Linux Distros 未修补的漏洞：CVE-2026-89407	Nessus	Misc.	2026/9/23	2026/10/15	high
365243	Amazon Linux 2023：jackson-core (ALAS2023-2026-3188)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	high
365243	Amazon Linux 2023：jackson-core (ALAS2023-2026-3188)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	high
364341	openSUSE 16:jackson-annotations/jackson-annotations-javadoc/jackson-core/etc(openSUSE-SU-2026:22034-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high
365243	2023 年 Amazon Linux:jackson-core(ALAS2023-2026-3188)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	high
351412	SUSE SLED15:jackson-annotations/jackson-core/jackson-databind/etc(SUSE-SU-2026:4394-1)	Nessus	SuSE Local Security Checks	2026/9/30	2026/9/30	high
349353	Linux Distros のパッチ未適用の脆弱性: CVE-2026-89407	Nessus	Misc.	2026/9/23	2026/10/15	high
351412	SUSE SLED15: jackson-annotations / jackson-core / jackson-databind / etc (SUSE-SU-2026:4394-1)	Nessus	SuSE Local Security Checks	2026/9/30	2026/9/30	high
349353	Linux Distros Unpatched Vulnerability : CVE-2026-89407	Nessus	Misc.	2026/9/23	2026/10/15	high
365243	Amazon Linux 2023 : jackson-core (ALAS2023-2026-3188)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	high
364341	openSUSE 16: jackson-annotations / jackson-annotations-javadoc / jackson-core / etc (openSUSE-SU-2026:22034-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high