CVE-2025-49128

Jackson-core, Jackson Data Processor tərəfindən istifadə edilən əsas aşağı səviyyəli inkremental ("streaming") parser və generator abstraksiyalarını ehtiva edir. Versiya 2.0.0-dan başlayaraq və versiya 2.13.0-a qədər olan dövrdə, jackson-core-un `JsonLocation._appendSourceDesc` metodundakı çatışmazlıq, istisna mesajlarına 500 bayta qədər nəzərdə tutulmamış yaddaş məzmununun daxil edilməsinə şərait yaradır. Offset və uzunluqla birlikdə bayt massivindən JSON parse edilərkən, istisna mesajı məntiqi faydalı yükün başlanğıcı əvəzinə yanlış şəkildə massivin əvvəlindən oxuma aparır. Bu, Netty və ya Vert.x kimi hovuzlaşdırılmış (pooled) və ya yenidən istifadə edilən buferlərdən istifadə edən sistemlərdə mümkün məlumat sızmasına gətirib çıxarır. Bu problem 30 sentyabr 2021-ci ildə PR #652 vasitəsilə buraxılan jackson-core versiya 2.13.0-da səssizcə düzəldilmişdir. Bütün istifadəçilər versiya 2.13.0 və ya daha yeni versiyaya yüksəltmə etməlidirlər. Əgər dərhal yüksəltmə etmək mümkün deyilsə, tətbiqlər HTTP cavablarında parse istisna mesajlarının qaytarılmaması üçün istisna mesajlarının müştərilərə göstərilməsini deaktiv edərək və/yaxud sızmanın qarşısını almaq üçün Jackson-un istisna mesajlarına hər hansı mənbə məzmununu yerləşdirməməsi üçün istisnalarda mənbənin daxil edilməsini söndürərək problemi yumşalda bilərlər.