CVE-2026-77310
jackson-databind: Eager DNS resolution (SSRF) still present in InetAddress deserialization (Incomplete fix for CVE-2026-54514)
CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.18.9, 2.21.5, 2.22.1, 3.1.5, 3.2.1
Обновить jackson-databind до версий 2.18.9, 2.21.5, 2.22.1, 3.1.5, 3.2.1 или выше в соответствующей ветке релизов.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
DNS-SSRF и сканирование внутренней сети в jackson-databind при десериализации InetAddress. Проблема возникла из-за неполного исправления CVE-2026-54514.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Ветка java.net.InetAddress метода FromStringDeserializer.Std._deserialize() вызывает InetAddress.getByName() на непроверенных входных данных, форсируя немедленное выполнение DNS-запроса.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Эксплуатация SSRF через DNS-запросы и перебор (enumeration) сетевых узлов во внутренней инфраструктуре.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
FasterXMLcom.fasterxml.jackson.core:jackson-databind
>= 2.0.0➔Fix: 2.18.9
FasterXMLcom.fasterxml.jackson.core:jackson-databind
>= 2.19.0➔Fix: 2.21.5
FasterXMLcom.fasterxml.jackson.core:jackson-databind
>= 2.22.0➔Fix: 2.22.1
FasterXMLtools.jackson.core:jackson-databind
>= 3.0.0➔Fix: 3.1.5
FasterXMLtools.jackson.core:jackson-databind
>= 3.2.0➔Fix: 3.2.1
——
>= 2.0.0➔Fix: 2.18.9
——
>= 2.19.0➔Fix: 2.21.5
——
>= 2.22.0➔Fix: 2.22.1
——
>= 3.0.0➔Fix: 3.1.5
——
>= 3.2.0➔Fix: 3.2.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-77310: jackson-databind: Eager DNS resolution (SSRF) still present in InetAddress deserialization (Incomplete fix for CVE-2026-54514). URL: https://cve.futuretools.ru/cve/CVE-2026-77310
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_77310,
title = {{CVE-2026-77310: jackson-databind: Eager DNS resolution (SSRF) still present in InetAddress deserialization (Incomplete fix for CVE-2026-54514)}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-77310}},
note = {Оперативный инженерный анализ киберугроз}
}