jackson-databind: Validator-Umgehung über generische Typargumente

Zusammenfassung

Die Jackson-Bibliothek jackson-databind prüft bei der polymorphen Deserialisierung nur die äussere Klasse einer Klassenname-Typ-ID. Klassen, die als generische oder Array-Elementargumente übergeben werden, werden nicht validiert. Ein Angreifer, der die JSON-Typinformationen kontrolliert, kann dadurch Klassen instanziieren, die der konfigurierte Validator abweisen würde. Der frühere Fix für CVE-2026-54512 ist unvollständig. Je nach Klassen im Classpath kann die Umgehung über die Standard-Typisierung oder die klassennamenbasierte Polymorphie zur Ausführung beliebiger Klassen und unter Umständen zur Remote Code Execution mit den Rechten der Anwendung führen.

Betroffen

• com.fasterxml.jackson.core:jackson-databind 2.10.0 bis < 2.18.12
• com.fasterxml.jackson.core:jackson-databind 2.19.0 bis < 2.21.8
• com.fasterxml.jackson.core:jackson-databind 2.22.0 bis < 2.22.4
• tools.jackson.core:jackson-databind 3.0.0 bis < 3.1.8
• tools.jackson.core:jackson-databind 3.2.0 bis < 3.2.4
• Releases vor 2.10.0 sind nicht betroffen.
• Die Versionen 2.18.8, 2.21.4 und 3.1.4 (Fixes für CVE-2026-54512) sind weiterhin betroffen.

Behoben in

• com.fasterxml.jackson.core:jackson-databind 2.18.12
• com.fasterxml.jackson.core:jackson-databind 2.21.8 (auch für die 2.19.x-Linie)
• com.fasterxml.jackson.core:jackson-databind 2.22.4
• tools.jackson.core:jackson-databind 3.1.8
• tools.jackson.core:jackson-databind 3.2.4
• Fixes für nicht mehr unterstützte Releases: Unbekannt.

Umgehung

• Es ist keine vom Hersteller freigegebene Konfigurationsmassnahme dokumentiert.
• Standard-Typisierung und klassennamenbasierte Polymorphie deaktivieren, sofern sie nicht benötigt werden.
• Die Verwendung von @JsonTypeInfo und activateDefaultTyping im Code prüfen.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt. Nicht gegen den Katalog CISA KEV geprüft.
• Der Hersteller-Advisory beschreibt reproduzierte Beispiele; öffentliche Proof-of-Concept-Details sind verfügbar.
• EPSS: 1.2 % (Perzentil 68).

Unsere Empfehlung

• Alle jackson-databind-Versionen inventarisieren, einschliesslich transitiver Abhängigkeiten wie spring-boot-starter-json.
• Auf die oben genannten Fixversionen aktualisieren. Nicht beim Fix für CVE-2026-54512 stehen bleiben.
• Falls kein Update möglich ist, Standard-Typisierung deaktivieren und die Behandlung polymorpher Typen einschränken.
• Öffentlich erreichbare Dienste, die JSON mit Typinformationen akzeptieren, prüfen und auf verdächtige Deserialisierungsanfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Advisory GHSA-m8xf-2cr7-77ph (vendor) github.com
• GitHub Advisory GHSA-j3rv-43j4-c7qm (CVE-2026-54512) github.com
• CVE Record CVE-2026-54512 www.cve.org
• HeroDevs vulnerability directory www.herodevs.com
• Red Hat CVE page access.redhat.com
• VulDB CVE-2026-110879 vuldb.com
• OpenMetadata pull request (3.1.8 fix reference) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:23.