CVE-2025-49128

Jackson-core, Jackson Data Processor tarafından kullanılan temel düşük seviyeli artımlı ("streaming") ayrıştırıcı ve oluşturucu soyutlamalarını içerir. Versiyon 2.0.0 ile başlayıp versiyon 2.13.0 öncesine kadar olan sürümlerde, jackson-core'un `JsonLocation._appendSourceDesc` metodundaki bir hata, istisna mesajlarına 500 bayta kadar istenmeyen bellek içeriğinin dahil edilmesine izin verir. Bir bayt dizisinden ofset ve uzunluk kullanılarak JSON ayrıştırması yapıldığında, istisna mesajı mantıksal yük başlangıcı yerine yanlışlıkla dizinin başından okuma yapar. Bu durum; Netty veya Vert.x gibi havuzlanmış veya yeniden kullanılan tamponlar kullanan sistemlerde olası bilgi ifşasına yol açar. Bu sorun, 30 Eylül 2021 tarihinde yayınlanan jackson-core versiyon 2.13.0'da PR #652 aracılığıyla sessizce düzeltilmiştir. Tüm kullanıcıların versiyon 2.13.0 veya daha yeni bir sürüme yükseltme yapması gerekir. Yükseltmenin hemen mümkün olmadığı durumlarda uygulamalar, HTTP yanıtlarında ayrıştırma istisna mesajlarının döndürülmesini önlemek için istemcilere yönelik istisna mesajı görünürlüğünü devre dışı bırakarak ve/veya sızıntıyı önlemek amacıyla Jackson'ın istisna mesajlarına herhangi bir kaynak içeriği gömmesini engellemek için istisnalarda kaynak eklemeyi devre dışı bırakarak sorunu hafifletebilir.