Intel

CVE-2026-54512

Red Hat Security Advisory: Red Hat AI Inference Server 3.2.2 (CUDA)

highEPSS 0.9 %

Beschreibung

jackson-databind enthält die allgemeine Zweck-Datenbindungsfunktionalität und Baumstruktur für den Jackson Data Processor. Von Version 2.10.0 bis einschließlich 2.18.8, 2.21.4 und 3.1.4 ist der PolymorphicTypeValidator (PTV) von jackson-databind das primäre Sicherheitsmechanismus zur Absicherung der polymorphen Deserialisierung. Wenn die polymorphe Typisierung aktiviert ist und ein Typ-Identifikator generische Parameter enthält (d.h., die Typ-ID-Zeichenkette enthält <), validiert DatabindContext._resolveAndValidateGeneric() nur den rohen Container-Klassen-Namen (den Teil vor <) gegen den konfigurierten PTV. Wenn der Container-Typ genehmigt wird, analysiert die Methode den vollständigen kanonischen Typ-String über TypeFactory.constructFromCanonical() und gibt den vollständig parametrisierten Typ zurück, ohne die eingebetteten Typargumente jemals gegen den PTV zu validieren. Die eingebetteten Typargumente werden dann aufgelöst, instanziiert und während der Deserialisierung als Beans befüllt. Ein Angreifer, der den Typ-Identifikator kontrolliert, kann daher eine verweigerte Klasse als generisches Typparameter eines erlaubten Containers platzieren – zum Beispiel java.util.ArrayList<com.evil.Gadget>, wenn nur java.util.ArrayList auf der Erlaubnisliste steht. Der Container besteht die PTV-Überprüfung; com.evil.Gadget wird über Class.forName(name, true, loader) geladen, instanziiert und seine Eigenschaften werden aus JSON gesteuert durch den Angreifer gesetzt. Dies umgeht eine explizit konfigurierte PTV-Erlaubnisliste vollständig. Diese Schwachstelle ist in Version 2.18.8, 2.21.4 und 3.1.4 behoben.

Quelle: BSIBSI_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFCVELISTV5OSVNVDCVEORGGHSA

Metriken

Severity
high
Priority-Score
235.12
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
8.1
Quelle: nvd-v3
CVSS v3
8.1
CVSS v4
—
EPSS-Perzentil
56.8 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.9 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-31 13:38 UTC
CWE
CWE-184, CWE-502

Weakness-Klassen (CWE)

  • CWE-184Base

    Incomplete List of Disallowed Inputs

    The product implements a protection mechanism that relies on a list of inputs (or properties of inputs) that are not allowed by policy or otherwise require other action to neutralize before additional processing takes place, but the list is incomplete.

    cwe.mitre.org →

  • CWE-502Base

    Deserialization of Untrusted Data

    The product deserializes untrusted data without sufficiently ensuring that the resulting data will be valid.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-06-24 16:16 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • Reference: https://github.com/FasterXML/jackson-databind/security/advisories/GHSA-j3rv-43j4-c7qm
    • SSVC: {"id":"CVE-2026-54512","role":"CISA Coordinator","options":[{"exploitation":"poc"},{"automatable":"no"},{"technicalIm…
  2. New CVE Received2026-06-23 21:17 UTC· security-advisories@github.com
    • Affected: jackson-databind
    • Description: jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.10.0 until 2.18.8, 2.21.4, and 3.1.4, jackson-databind's PolymorphicTypeValidator (PTV) is the primary safety mechanism guarding polymorphic deserialization. When polymorphic typing is enabled and a type identifier contains generic parameters (i.e. the type ID string contains <), DatabindContext._resolveAndValidateGeneric() validates only the raw container class name (the substring before <) against the configured PTV. If the container type is approved, the method parses the full canonical type string via TypeFactory.constructFromCanonical() and returns the fully parameterized type without ever validating the nested type arguments against the PTV. The nested type arguments are then resolved, instantiated, and populated as beans during deserialization. An attacker who controls the type ID can therefore place a denied class as a generic type parameter of an allowed container — for example java.util.ArrayList<com.evil.Gadget> when only java.util.ArrayList is allow-listed. The container passes the PTV check; com.evil.Gadget is loaded via Class.forName(name, true, loader), instantiated, and its properties are set from attacker-controlled JSON. This completely bypasses an explicitly configured PTV allow-list. This vulnerability is fixed in 2.18.8, 2.21.4, and 3.1.4.
    • CVSS V3.1: AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
    • CWE: CWE-184

Betroffene Betriebssysteme

  • linux

    debian / aomtrixie

  • linux

    ubuntu / ffmpegbionic

  • linux

    ubuntu / ffmpegfocal

  • linux

    ubuntu / ffmpegjammy

  • linux

    ubuntu / ffmpegnoble

  • linux

    ubuntu / ffmpegxenial

  • linux

    debian / starlettetrixie

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • anyscale

    ray2.52.0

  • bitnami

    pillow8.2.0

  • bitnami

    pillow

  • bitnami

    sqlite

  • bitnami

    thrift

  • google

    protobuf33.4

  • IBM

    Concert< 3.0.0

    gefixt in 3.0.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.0

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.0.pr1

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.0.pr2

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.0.pr3

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.1

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.2

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.3

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.4

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.5

  • maven

    com.fasterxml.jackson.core:jackson-databind2.10.5.1

  • maven

    com.fasterxml.jackson.core:jackson-databind2.11.0

  • maven

    com.fasterxml.jackson.core:jackson-databind2.11.0.rc1

  • maven

    com.fasterxml.jackson.core:jackson-databind2.11.1

  • maven

    com.fasterxml.jackson.core:jackson-databind2.11.2

  • maven

    com.fasterxml.jackson.core:jackson-databind2.11.3

  • maven

    com.fasterxml.jackson.core:jackson-databind2.11.4

Quellen & Referenzen

Verknüpfte CVEs

7 weitere CVEs anzeigen
IDCVE-2026-54512