JVNDB-2026-021137

FasterXML, LLCのJackson-databindにおける複数の脆弱性

jackson-databindはJackson Data Processorの汎用データバインディング機能およびツリーモデルを含んでいます。バージョン2.10.0から2.18.8、2.21.4、3.1.4までの間、jackson-databindのPolymorphicTypeValidator（PTV）は多態的なデシリアライズを保護する主要な安全機構です。多態的な型指定が有効で、型識別子にジェネリックパラメータが含まれる場合（つまり型ID文字列に「」が含まれる場合）、DatabindContext._resolveAndValidateGeneric()は設定されたPTVに対して生のコンテナクラス名（「」以前の部分文字列）のみを検証します。コンテナ型が承認されると、このメソッドはTypeFactory.constructFromCanonical()を使用して完全なカノニカル型文字列を解析し、ネストされた型引数をPTVで検証することなく完全にパラメータ化された型を返します。ネストされた型引数はその後デシリアライズ中に解決およびインスタンス化され、Beanとしてプロパティが設定されます。攻撃者が型IDを制御できる場合、許可されたコンテナのジェネリック型パラメータとして拒否されたクラスを配置することが可能です。例えば、java.util.ArrayListcom.evil.Gadgetはjava.util.ArrayListのみが許可リストにある場合でも、コンテナはPTVチェックを通過します。com.evil.GadgetはClass.forName(name, true, loader)でロードされてインスタンス化され、そのプロパティは攻撃者が制御するJSONから設定されます。これにより、明示的に構成されたPTV許可リストが完全に回避されます。この脆弱性はバージョン2.18.8、2.21.4および3.1.4で修正されました。

FasterXML, LLC

• Jackson-databind 2.10.0 以上 2.18.8 未満
• Jackson-databind 2.19.0 以上 2.21.4 未満
• Jackson-databind 3.0.0 以上 3.1.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : PolymorphicTypeValidator bypass via generic type parameters in jackson-databind allows arbitrary class instantiation  Advisory  FasterXML/jackson-databind  GitHub

1. 不完全なブラックリスト(CWE-184) [その他]
2. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-54512

1. National Vulnerability Database (NVD) : CVE-2026-54512
2. 関連文書 : `PolymorphicTypeValidator` needs to validate generic type parameters too [CVE-2026-54512] by cowtowncoder  Pull Request #5988  FasterXML/jackson-databind  GitHub
3. 関連文書 : `PolymorphicTypeValidator` needs to validate generic type parameters …  FasterXML/jackson-databind@434d6c5  GitHub

• [2026年06月29日]
    掲載