JVNDB-2026-021136

FasterXML, LLCのJackson-databindにおける不完全なブラックリストに関する脆弱性

jackson-databind は Jackson Data Processor の汎用データバインディング機能およびツリーモデルを含んでいます。バージョン 2.10.0 から 2.18.8、2.21.4、および 3.1.4 までの間で、BasicPolymorphicTypeValidator.Builder.allowIfSubTypeIsArray() は clazz.isArray() のみを基にあらゆる配列型を許可リストに登録しており、配列の構成要素（要素）型を設定された許可リストと照合して検証していません。したがって、allowIfSubTypeIsArray() と明示的な具体型許可リストを組み合わせて構築された PTV は、EvilType が許可リストに含まれていなくても EvilType[] を許容します。Jackson は、要素をデシリアライズする際に要素ごとの型IDが存在しない場合に、構成要素型を直接インスタンス化し、さらに PTV チェックを行わずに許可リストをバイパスします。この脆弱性は 2.18.8、2.21.4、および 3.1.4 で修正されています。

FasterXML, LLC

• Jackson-databind 2.10.0 以上 2.18.8 未満
• Jackson-databind 2.19.0 以上 2.21.4 未満
• Jackson-databind 3.0.0 以上 3.1.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Array subtype allowlist bypass in BasicPolymorphicTypeValidator (allowIfSubTypeIsArray) in jackson-databind  Advisory  FasterXML/jackson-databind  GitHub

1. 不完全なブラックリスト(CWE-184) [その他]

1. CVE-2026-54513

1. National Vulnerability Database (NVD) : CVE-2026-54513
2. 関連文書 : Fix #5981: `BasicPolymorphicTypeValidator` setting `allowIfSubTypeIsA…  FasterXML/jackson-databind@24529da  GitHub
3. 関連文書 : Backport fix for #5981 in 2.18 branch by cowtowncoder  Pull Request #5984  FasterXML/jackson-databind  GitHub
4. 関連文書 : `BasicPolymorphicTypeValidator` setting `allowIfSubTypeIsArray()` should validate element type [CVE-2026-54513]  Issue #5981  FasterXML/jackson-databind
5. 関連文書 : Fix #5981: `BasicPolymorphicTypeValidator` setting `allowIfSubTypeIsArray()` should validate element type by cowtowncoder  Pull Request #5983  FasterXML/jackson-databind  GitHub
6. 関連文書 : Backport fix for #5981 in 2.18 branch (#5984)  FasterXML/jackson-databind@01d1692  GitHub

• [2026年06月29日]
    掲載