Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - FasterXML jackson-dataformats-binary 中的 Smile 剖析器在解碼 JSON 物件內容名稱時，絕不會叫用 StreamReadConstraints.validateNameLength（），因此不會針對此格式強制執行 maxNameLength 限制。SmileParser._handleLongFieldName（） 透過不受限制的 _growArrayTo（） 呼叫來增加其內部名稱緩衝區，並且不執行長度驗證。因此，可以剖析 Smile 檔的攻擊者可能會內嵌無限長度的單一屬性名稱;剖析器會在傳回整個名稱之前在記憶體中緩衝整個名稱，無論 maxNameLength 設定為何。由於預設情況下也停用 StreamReadConstraints.maxDocumentLength，因此在預設設定下沒有其他任何內容會限制名稱，因此唯一的限制是攻擊者的上傳容量和可用的堆積，從而導致記憶體耗盡和拒絕服務。除了能夠將資料提交至剖析端點之外，不需要任何權限，而且利用只需要位元組直接或透過配置有 Smile 模組的 ObjectMapper 到達 SmileFactory 剖析。jackson-core 自己的 JSON 剖析器在名稱解碼期間以增量方式強制執行 maxNameLength;此間隙是二進位格式特有的。
    maxNameLength 和 validateNameLength 是在 jackson-core 2.16.0中引入的，因此之前 2.16.0 的版本不包含未強制執行的約束。此問題會與相同廠商公告 GHSA-3v8f-v6vx-fmrm 中的 CBOR 剖析器缺陷一起追蹤，涵蓋這兩種二進位格式。Smile 剖析器缺陷 （jackson-dataformats-binary 問題#726） 是 CVE-2026-68496;已指派 CVE-2026-68495CBOR 剖析器缺陷 （問題#725）。（CVE-2026-68496）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - FasterXML jackson-dataformats-binary 中的微笑解析器在解码 JSON 对象属性名称时从不调用 StreamReadConstraints.validateNameLength（），因此不会为此格式强制使用 maxNameLength 限制。SmileParser._handleLongFieldName（） 通过不受限的 _growArrayTo（） 调用扩大其内部名称缓冲区，且不执行任何长度验证。因此，可以解析 Smile 文档的攻击者可能会嵌入无限长度的单个属性名称;无论 maxNameLength 配置为何，解析器在返回整个名称之前都会在内存中缓冲整个名称。由于默认情况下也禁用了 StreamReadConstraints.maxDocumentLength，因此默认设置下没有其他任何内容限制名称，因此唯一的限制是攻击者的上传容量和可用堆，这会导致内存耗尽和拒绝服务。除了能够将数据提交到解析端点之外，不需要任何权限，并且仅需要字节直接或通过配置有 Smile 模块的 ObjectMapper 到达 SmileFactory 解析。jackson-core 自有的 JSON 解析器在名称解码期间以增量方式强制执行 maxNameLength;此间隙是二进制格式特有的。
    maxNameLength 和 validateNameLength 是在 jackson-core 2.16.0中引入的，所以之前 2.16.0 的版本不包含未强制执行的约束。此问题与 CBOR 解析器缺陷在同一供应商公告 GHSA-3v8f-v6vx-fmrm 中一起进行跟踪，该公告涵盖这两种二进制格式。Smile 解析器缺陷（jackson-dataformats-binary 问题#726）为 CVE-2026-68496;分配了 CVE-2026-68495CBOR 解析器缺陷（问题#725）。（CVE-2026-68496）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4394-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
    - CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
    - CVE-2026-68495:CBOR パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282639)。
    - CVE-2026-68496:Smile パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282640)。
    - CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
    - CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
    - CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。

    jackson-annotations の変更:

    - 2.18.11 への更新

    jackson-bom の変更:

    - 2.18.11 への更新

    jackson-core の変更:

    - 2.18.11 への更新
     * #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
     * #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
     * #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
     * #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します

    jackson-databind の変更点:

    - 2.18.11 への更新
     * #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
     * #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
     * #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
     * #6099:TypeFactory.findClass() で初期化なしのクラスを解決
     * #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
     * #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
     * #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
     * #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
     * #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します

    jackson-dataformat-xml に対する変更:

    - 2.18.11 への更新
     * past-JDK-8 バイトコードの生成を回避するためにビルドを修正します
     * #891:FromXmlParser で StreamReadConstraints.maxNestingDepth を強制します

    jackson-dataformats-binary の変更:

    - 2.18.11 への更新
     * #783:(protobuf)ProtobufParser の StreamReadConstraints.maxDocumentLength をサポートします
     * #785:(avro)Avro パーサーにおいて StreamReadConstraints.maxDocumentLength および maxTokenCount をサポートします
     * #803:(ion)Ion パーサーの StreamReadConstraints.maxNestingDepth をサポートします( #358 の部分的修正)
     * #805:(ion)Ion パーサーの StreamReadConstraints.maxDocumentLength をサポートします( #358 の部分的修正)
     * #725:(cbor)CBOR パーサーに対して強制された maxNameLength 制限を確実に実施する(bsc#1282639、 CVE-2026-68495)
     * #726:(smile)Smile パーサーに対して強制された maxNameLength 制限を確実に実行します(bsc#1282640、 CVE-2026-68496)
     * #727:(cbor)CBORParser.nextFieldName(SerializableString) が、5 ビット長のマーカー 23 と 24 を混同します(「1 バイト長のサフィックスが続く」)
     * #728:(cbor)CBORParser.nextFieldName(SerializableString) が、ファストパスのミスでオブジェクトエントリスロットを 2 回消費し、特定の長さのオブジェクトを切り捨てます
     * #733:(cbor)長い「文字列」が「stringref」参照テーブルに追加されず、以下の参照が破損します
     * #735:(cbor)「stringref」property-name パスが、実際の長さの代わりに 5 ビットの長さのマーカーを shouldReferenceString() に渡します
     * #736:(cbor)Long Object プロパティ名が「stringref」参照テーブルに 2 回追加されました

    jackson-modules-base の変更:

    - 2.18.11 への更新

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - FasterXML jackson-dataformats-binary の Smile パーサーは、JSON オブジェクトのプロパティ名をデコードする際に、StreamReadConstraints.validateNameLength() を決して呼び出さないため、この形式には maxNameLength 制限は適用されません。SmileParser._handleLongFieldName() は、制約のない _growArrayTo() 呼び出しを通じて内部名バッファを拡大し、長さ検証を行いません。したがって、Smile ドキュメントを解析できる攻撃者は、無限の長さの単一のプロパティ名を埋め込む可能性があります。パーサーは、maxNameLength の設定に関係なく、名前全体を返す前にメモリ内でバッファリングします。StreamReadConstraints.maxDocumentLengthもデフォルトで無効になっているため、デフォルト設定では他に名前を制限するものはないため、攻撃者のアップロード容量と利用可能なヒープのみが制限され、メモリ枯渇とサービス拒否につながる可能性があります。解析エンドポイントにデータを送信する権限を超える権限は必要ありません。悪用するには、バイトが直接、あるいは Smile モジュールで構成された ObjectMapper を介して SmileFactory 解析に到達することだけで済みます。jackson-core 独自の JSON パーサーは、名前のデコード中に maxNameLength を増分的に強制します。このギャップはバイナリ形式に固有です。
    maxNameLength および validateNameLength は jackson-core 2.16.0で導入されたため、 2.16.0 より前のリリースには、強制されないまま放置されている制約が含まれていません。この問題は、両方のバイナリ形式をカバーする、同じベンダーアドバイザリ GHSA-3v8f-v6vx-fmrm で、CBOR パーサーの不具合とともに追跡されています。Smile パーサーの不具合(jackson-dataformats-binary の問題 #726)が CVE-2026-68496、CBOR パーサーの不具合(問題 #725)が CVE-2026-68495 に割り当てられています。(CVE-2026-68496)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The Smile parser in FasterXML jackson-dataformats-binary never invokes     StreamReadConstraints.validateNameLength() when decoding JSON object property names, so the maxNameLength     limit is not enforced for this format. SmileParser._handleLongFieldName() grows its internal name buffer     through an unconstrained _growArrayTo() call and performs no length validation. An attacker who can have a     Smile document parsed may therefore embed a single property name of unbounded length; the parser buffers     the whole name in memory before returning it, whatever maxNameLength is configured to. Because     StreamReadConstraints.maxDocumentLength is also disabled by default, nothing else bounds the name under     default settings, so the only limits are the attacker's upload capacity and available heap, leading to     memory exhaustion and denial of service. No privileges beyond the ability to submit data to a parsing     endpoint are required, and exploitation needs only that the bytes reach SmileFactory parsing, directly or     through an ObjectMapper configured with the Smile module. jackson-core's own JSON parsers enforce     maxNameLength incrementally during name decoding; this gap is specific to the binary formats.
    maxNameLength and validateNameLength were introduced in jackson-core 2.16.0, so releases before 2.16.0 do     not contain the constraint that is left unenforced. This issue is tracked together with the CBOR parser     defect in the same vendor advisory, GHSA-3v8f-v6vx-fmrm, which covers both binary formats. The Smile     parser defect (jackson-dataformats-binary issue #726) is CVE-2026-68496; the CBOR parser defect (issue     #725) is assigned CVE-2026-68495. (CVE-2026-68496)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4394-1 advisory.

    - CVE-2026-18401: Number Length Constraint Bypass in Async Parser Can Lead to Potential Processing Time     Issues       (bsc#1273856).
    - CVE-2026-68494: Async parser maxNumberLength bypass via chunked digit accumulation (bsc#1273857).
    - CVE-2026-68495: Ensure maxNameLength limit enforced for CBOR parser (bsc#1282639).
    - CVE-2026-68496: Ensure maxNameLength limit enforced for Smile parser (bsc#1282640).
    - CVE-2026-68498: Enforce maxNameLength incrementally in ReaderBasedJsonParser (bsc#1282641).
    - CVE-2026-89407: Optimize NumberInput.looksLikeValidNumber (bsc#1282645).
    - CVE-2026-89425: `UTF8DataInputJsonParser._reportInvalidToken()`lacks `maxErrorTokenLength` limit, which     allows for       unbounded `StringBuilder` growth and can lead to a DoS when malformed tokens are processed     (bsc#1282505).

    Changes for jackson-annotations:

    - Update to 2.18.11

    Changes for jackson-bom:

    - Update to 2.18.11

    Changes for jackson-core:

    - Update to 2.18.11
     * #1649: Optimize NumberInput.looksLikeValidNumber (bsc#1282645,      CVE-2026-89407)
     * #1698: UTF8DataInputJsonParser does not honor      maxErrorTokenLength when reporting an unrecognized token      (bsc#1282505, CVE-2026-89425)
     * #1642: Fix maxDocumentLength bypass in async parser      single-feedInput() case [GHSA-2c4j-63jj-9fqr]
     * #1643: Enforce maxNameLength incrementally in      ReaderBasedJsonParser (bsc#1282641, CVE-2026-68498)      of async parser (bsc#1273857, CVE-2026-68494)      non-blocking (async) parser (bsc#1273856, CVE-2026-18401)

    Changes for jackson-databind:

    - Update to 2.18.11
     * #6185: Bracket unresolved IPv6 host name in InetSocketAddress      serialization
     * #6203: Prevent unbounded growth of type id cache in      TypeDeserializer (bsc#1282491, CVE-2026-91776)
     * #6204: Avoid quadratic forward-reference resolution in      Collection/Map deserializers (bsc#1282492, CVE-2026-91777)
     * #6099: Resolve classes without initialization in      TypeFactory.findClass()
     * #6116: Reject non-ASCII digits in InetAddress literal validation
     * #6127: Add StreamReadConstraints number len constraint to      javax.xml.datatype.XMLGregorianCalendar and      javax.xml.datatype.Duration (bsc#1280125, CVE-2026-68497)
     * #6129: Limit the supported URL schemes for java.nio.file.Path      deserialization (bsc#1277883, CVE-2026-19032)
     * #6156: Add java.lang.Comparable in set of unsafe polymorphic      base types (bsc#1278008, CVE-2026-83557)
     * #6165: Apply number length limits to BigDecimal/BigInteger/      /Double/Float Map keys

    Changes for jackson-dataformat-xml:

    - Update to 2.18.11
     * Fix build to avoid past-JDK-8 bytecode generation
     * #891: Enforce StreamReadConstraints.maxNestingDepth in      FromXmlParser

    Changes for jackson-dataformats-binary:

    - Update to 2.18.11
     * #783: (protobuf) Support StreamReadConstraints.maxDocumentLength      in ProtobufParser
     * #785: (avro) Support StreamReadConstraints.maxDocumentLength and      maxTokenCount in Avro parser
     * #803: (ion) Support StreamReadConstraints.maxNestingDepth in Ion      parser (partial fix for #358)
     * #805: (ion) Support StreamReadConstraints.maxDocumentLength in      Ion parser (partial fix for #358)
     * #725: (cbor) Ensure maxNameLength limit enforced for CBOR parser      (bsc#1282639, CVE-2026-68495)
     * #726: (smile) Ensure maxNameLength limit enforced for Smile      parser (bsc#1282640, CVE-2026-68496)
     * #727: (cbor) CBORParser.nextFieldName(SerializableString)      confuses 5-bit length marker 23 with 24 ('1-byte length suffix      follows')
     * #728: (cbor) CBORParser.nextFieldName(SerializableString)      consumes Object entry slot twice on fast-path miss, truncating      definite-length Objects
     * #733: (cbor) Long `String`s not added to 'stringref' reference      table, breaking following references
     * #735: (cbor) 'stringref' property-name paths pass 5-bit length      marker instead of actual length to shouldReferenceString()
     * #736: (cbor) Long Object property names added to 'stringref'      reference table twice

    Changes for jackson-modules-base:

    - Update to 2.18.11

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
362621	Linux Distros 未修補弱點：CVE-2026-68496	Nessus	Misc.	10/2/2026	10/19/2026	high
362621	Linux Distros 未修补的漏洞：CVE-2026-68496	Nessus	Misc.	10/2/2026	10/19/2026	high
351412	SUSE SLED15:jackson-annotations/jackson-core/jackson-databind/etc(SUSE-SU-2026:4394-1)	Nessus	SuSE Local Security Checks	9/30/2026	10/26/2026	high
362621	Linux Distros のパッチ未適用の脆弱性: CVE-2026-68496	Nessus	Misc.	10/2/2026	10/19/2026	high
362621	Linux Distros Unpatched Vulnerability : CVE-2026-68496	Nessus	Misc.	10/2/2026	10/19/2026	high
351412	SUSE SLED15: jackson-annotations / jackson-core / jackson-databind / etc (SUSE-SU-2026:4394-1)	Nessus	SuSE Local Security Checks	9/30/2026	10/26/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high