Pjfanning

Um problema ocorre ao vincular uma string JSON a um campo `javax.xml.datatype.Duration` ou `javax.xml.datatype.XMLGregorianCalendar` através da função `CoreXMLDeserializers.Std. deserialize`. O software passa a string bruta diretamente para `DatatypeFactory.newDuration(value)` ou `newXMLGregorianCalendar(value)`. Como a gramática lexical do XML Schema permite componentes numéricos de comprimento arbitrário, o JDK utiliza os construtores `BigInteger(String)` e `BigDecimal(String)`, que possuem complexidade quadrática em relação à contagem de dígitos. Como a entrada é tratada como uma string JSON em vez de um número JSON, a proteção `StreamReadConstraints.maxNumberLength` é ignorada e o desserializador de tipo de dado XML não realiza a validação de comprimento. Um invasor não autenticado pode enviar uma requisição contendo uma string com vários milhões de dígitos, causando consumo excessivo de CPU e potencialmente saturando as threads de processamento do servidor.

O desserializador para java.nio.file.Path resolve um URI fornecido por um invasor sem restringir o esquema do URI. Na função `JDKFromStringDeserializer.NioPathHelper.deserialize`, uma string proveniente de um JSON não confiável é passada para `new URI(value)` e depois para `Path.of(uri)`. Quando ocorre uma `FileSystemNotFoundException`, o código enumera `ServiceLoader<FileSystemProvider>` e chama `provider.getPath(uri)` no primeiro provedor cujo esquema corresponda ao escolhido pelo invasor. Isso permite que um JSON não confiável selecione e controle um `FileSystemProvider` registrado arbitrário durante o `readValue` sob um `JsonMapper` padrão, forçando o carregamento da classe do provedor. Embora o caminho resolvido seja inerte apenas com os provedores integrados do JDK (file, jar/zipfs), impactos adicionais são possíveis se um `FileSystemProvider` de terceiros com efeitos colaterais estiver presente no classpath.

O analisador JSON não bloqueante (assíncrono) no jackson-core não impõe a restrição `maxNumberLength` definida em `StreamReadConstraints`. Isso ocorre porque o caminho de análise assíncrona em `NonBlockingUtf8JsonParserBase` e classes relacionadas não invoca os métodos de validação de comprimento de número. Especificamente, métodos como ` finishNumberIntegralPart()` acumulam dígitos no `TextBuffer` sem verificações, e o ` valueComplete()` não chama `resetInt()` ou `resetFloat()`, onde `validateIntegerLength()` e `validateFPLength()` são executados. Um invasor pode enviar um documento JSON contendo um token numérico de comprimento arbitrário, levando à alocação excessiva de memória no `TextBuffer` e a um possível `OutOfMemoryError`. Além disso, se a aplicação chamar `getBigIntegerValue()` ou `getDecimalValue()`, a JVM pode sofrer exaustão de CPU devido ao processamento de BigInteger em O(n^2), resultando em negação de serviço.

Nome do Software Vulnerável e Versões Afetadas: Versões do jackson-core anteriores à 2.15.0 Descrição: O problema ocorre ao processar arquivos de entrada com dados profundamente aninhados, podendo causar um StackoverflowError devido à profundidade excessiva. Um limite configurável para a profundidade de navegação foi introduzido, com padrão de 1000, para prevenir este erro. Se o limite for atingido, uma StreamConstraintsException é lançada. Os usuários devem evitar processar arquivos de entrada de fontes não confiáveis como solução temporária. Recomendações: Para versões anteriores à 2.15.0, atualize para a versão 2.15.0 ou posterior para incluir o limite de profundidade configurável e prevenir o StackoverflowError. Como solução temporária, considere evitar o processamento de arquivos de entrada profundamente aninhados de fontes não confiáveis até que a atualização seja aplicada.

O console de administração baseado na web no H2 Database Engine pode ser iniciado via CLI com o argumento `-webAdminPassword`, o que permite ao usuário especificar a senha em texto simples para o console de administração web. Consequentemente, um usuário local (ou um invasor que tenha obtido acesso local por algum meio) seria capaz de descobrir a senha listando os processos e seus argumentos. O problema foi corrigido na versão 2.2.220.

O problema diz respeito ao analisador XML utilizado no Excel-Streaming-Reader, que não aplicou todas as configurações necessárias para evitar problemas de expansão de entidades XML. Esse problema é resolvido com a atualização para a versão 2.1.0. Não há nenhuma solução alternativa conhecida para este problema.