Cowtowncoder

**Nome do Software Vulnerável e Versões Afetadas** jackson-core versões 2.15.0 through 2.18.5 jackson-core versões 2.19.0 through 2.21.0 jackson-core versões 3.0.0 through 3.0.x **Description** O analisador JSON não bloqueante (assíncrono) no jackson-core não impõe a restrição `maxNumberLength` definida em `StreamReadConstraints`. Isso ocorre porque o caminho de análise assíncrona em `NonBlockingUtf8JsonParserBase` e classes relacionadas não invoca os métodos de validação de comprimento de número. Especificamente, métodos como ` finishNumberIntegralPart()` acumulam dígitos no `TextBuffer` sem verificações, e o ` valueComplete()` não chama `resetInt()` ou `resetFloat()`, onde `validateIntegerLength()` e `validateFPLength()` são executados. Um invasor pode enviar um documento JSON contendo um token numérico de comprimento arbitrário, levando à alocação excessiva de memória no `TextBuffer` e a um possível `OutOfMemoryError`. Além disso, se a aplicação chamar `getBigIntegerValue()` ou `getDecimalValue()`, a JVM pode sofrer exaustão de CPU devido ao processamento de BigInteger em O(n^2), resultando em negação de serviço. **Recommendations** Para as versões 2.15.0 through 2.18.5 do jackson-core, atualize para uma versão onde a restrição `maxNumberLength` seja imposta no analisador assíncrono. Para as versões 2.19.0 through 2.21.0 do jackson-core, atualize para uma versão onde a restrição `maxNumberLength` seja imposta no analisador assíncrono. Para as versões 3.0.0 through 3.0.x do jackson-core, atualize para uma versão onde a restrição `maxNumberLength` seja imposta no analisador assíncrono.

**Nome do Software Vulnerável e Versões Afetadas** jackson-core versões 2.15.0 through 2.18.7 jackson-core versões 2.19.0 through 2.21.3 jackson-core versões 3.0.0 through 3.1.3 **Description** Existe uma falha de bypass na restrição de comprimento de números no parser não bloqueante. Um invasor pode transmitir JSON em pequenos fragmentos sem enviar um byte terminador, mantendo o parser no estado `MINOR NUMBER INTEGER DIGITS` indefinidamente. Isso faz com que o acumulador cresça com base no `maxStringLength` (padrão 20 MiB) em vez do `maxNumberLength` (padrão 1000), podendo consumir até 40 MiB de heap por conexão. Isso pode levar ao esgotamento do heap da JVM quando combinado com concorrência controlada pelo invasor. O problema afeta os caminhos de dígitos inteiros na classe `NonBlockingUtf8JsonParserBase`, especificamente nas funções ` startPositiveNumber()`, ` startNegativeNumber()` e ` finishNumberIntegralPart()`. Frameworks reativos que alimentam bytes ao parser assíncrono conforme eles chegam, como Spring WebFlux/Reactor, Quarkus, Helidon e Vert.x, são particularmente suscetíveis. Parsers síncronos e parsers assíncronos que operam em entradas completas não são afetados. **Recommendations** Atualize o jackson-core para a versão 2.22.0 ou posterior. Atualize o jackson-core para a versão 3.2.0 ou posterior.

**Nome do software vulnerável e versões afetadas** FasterXML jackson-databind, versões 2.4.0-rc1 a 2.12.7.1 FasterXML jackson-databind, versões 2.13.x a 2.13.4.1 Bamboo Data Center e Server, versões 9.1.0 a 9.2.4 Bamboo Data Center e Server, versões 9.3.0 a 9.3.2 Bitbucket Data Center e Server, versões 7.17.0 a 7.21.13 Bitbucket Data Center e Server, versões 8.7.0 a 8.9.3 Bitbucket Data Center e Server, versões 8.10.0 a 8.10.3 Versões 8.11.0 a 8.11.2 do Bitbucket Data Center e Server Versões 8.12.0 a 8.12.0 do Bitbucket Data Center e Server Versões 8.13.0 a 8.13.0 do Bitbucket Data Center e Server **Descrição** A vulnerabilidade está relacionada ao esgotamento de recursos devido à falta de uma verificação nos deserializadores de valores primitivos para evitar o aninhamento profundo de matrizes de wrappers quando o recurso UNWRAP SINGLE VALUE ARRAYS está habilitado. Isso pode permitir que um invasor não autenticado exponha ativos no ambiente suscetíveis a exploração, sem impacto na confidencialidade, sem impacto na integridade e com alto impacto na disponibilidade, sem exigir interação do usuário. **Recomendações** Para as versões 2.4.0-rc1 a 2.12.7.1 do FasterXML jackson-databind, atualize para a versão 2.12.7.1 ou posterior. Para as versões 2.13.x a 2.13.4.1 do FasterXML jackson-databind, atualize para a versão 2.13.4.2 ou posterior. Para as versões 9.1.0 a 9.2.4 do Bamboo Data Center e Server, atualize para a versão 9.2.5 ou posterior. Para as versões 9.3 do Bamboo Data Center e Server,

**Nome do software vulnerável e versões afetadas** com.fasterxml.jackson.dataformat:jackson-dataformat-cbor, versões 0 a 2.11.4 com.fasterxml.jackson.dataformat:jackson-dataformat-cbor, versões 2.12.0-rc1 a 2.12.1 **Descrição** O problema está relacionado à alocação de memória ilimitada no pacote com.fasterxml.jackson.dataformat:jackson-dataformat-cbor da biblioteca jackson-dataformats-binary. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. A alocação não verificada de um buffer de bytes pode causar uma exceção java.lang.OutOfMemoryError. **Recomendações** Para as versões 0 a 2.11.4 do com.fasterxml.jackson.dataformat:jackson-dataformat-cbor, atualize para a versão 2.11.4 ou posterior. Para as versões 2.12.0-rc1 a 2.12.1 do com.fasterxml.jackson.dataformat:jackson-dataformat-cbor, atualize para a versão 2.12.1 ou posterior. Como solução temporária, considere restringir a alocação de buffers de bytes para evitar a exceção java.lang.OutOfMemoryError.

**Name of the Vulnerable Software and Affected Versions** jackson-dataformat-xml versions 2.7.0 through 2.7.7 jackson-dataformat-xml versions 2.8.0 through 2.8.3 **Description** The issue allows remote attackers to conduct server-side request forgery (SSRF) attacks via vectors related to a DTD. This can be exploited in the XmlMapper component of the Jackson XML dataformat. **Recommendations** For jackson-dataformat-xml versions 2.7.0 through 2.7.7, update to version 2.7.8 or later. For jackson-dataformat-xml versions 2.8.0 through 2.8.3, update to version 2.8.4 or later.