PT-2025-24332
CVE-2025-49128
·
تاريخ النشر
2025-06-06
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
4.0
متوسطةالمقاييسAV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات jackson-core من 2.0.0 إلى 2.13.0
الوصف
يسمح خلل في طريقة
JsonLocation. appendSourceDesc في jackson-core بإدراج ما يصل إلى 500 بايت من محتوى الذاكرة غير المقصود في رسائل الاستثناء. عند تحليل JSON من مصفوفة بايتات ذات إزاحة وطول، تقرأ رسالة الاستثناء بشكل خاطئ من بداية المصفوفة بدلاً من البداية المنطقية للحمولة. ويؤدي ذلك إلى احتمال حدوث تسرب للمعلومات في الأنظمة التي تستخدم مخازن مؤقتة مجمعة أو معاد استخدامها، مثل Netty أو Vert.x. ويؤثر هذا المشكل بشكل خاص على تطبيقات الخادم التي تستخدم مخازن مؤقتة مجمعة من البايتات، والأطر التي تعرض أخطاء التحليل في استجابات HTTP، والإعدادات الافتراضية لـ Jackson.التوصيات
لحل المشكلة، قم بالتحديث إلى الإصدار 2.13.0 أو أحدث من jackson-core.
إذا لم يكن التحديث ممكنًا على الفور، يمكن للتطبيقات التخفيف من حدة المشكلة عن طريق تعطيل عرض رسائل الاستثناء للعملاء، وتجنب إرجاع رسائل استثناء التحليل في استجابات HTTP.
بالإضافة إلى ذلك، قم بتعطيل تضمين المصدر في الاستثناءات عن طريق تعيين
jsonFactory.disable(JsonFactory.Feature.INCLUDE SOURCE IN LOCATION) لمنع Jackson من تضمين أي محتوى من المصدر في رسائل الاستثناء، وبالتالي تجنب حدوث تسربات.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾