Fixes #456: limit maximum nesting of YAML documents read with StreamReadConstraints

Author: cowtowncoder

yaml/src/main/java/com/fasterxml/jackson/dataformat/yaml/YAMLParser.java

@@ -517,7 +517,7 @@ public JsonToken nextToken() throws IOException
                 Mark m = evt.getStartMark();
                 MappingStartEvent map = (MappingStartEvent) evt;
                 _currentAnchor = map.getAnchor();
-                _parsingContext = _parsingContext.createChildObjectContext(m.getLine(), m.getColumn());
+                createChildObjectContext(m.getLine(), m.getColumn());
                 return (_currToken = JsonToken.START_OBJECT);
             }
             if (evt.is(Event.ID.MappingEnd)) { // actually error; can not have map-end here
@@ -526,7 +526,7 @@ public JsonToken nextToken() throws IOException
             if (evt.is(Event.ID.SequenceStart)) {
                 Mark m = evt.getStartMark();
                 _currentAnchor = ((NodeEvent)evt).getAnchor();
-                _parsingContext = _parsingContext.createChildArrayContext(m.getLine(), m.getColumn());
+                createChildArrayContext(m.getLine(), m.getColumn());
                 return (_currToken = JsonToken.START_ARRAY);
             }
             if (evt.is(Event.ID.SequenceEnd)) {

yaml/src/test/java/com/fasterxml/jackson/dataformat/yaml/constraints/DeeplyNestedYAMLReadTest.java

@@ -0,0 +1,53 @@
+package com.fasterxml.jackson.dataformat.yaml.constraints;
+
+import com.fasterxml.jackson.core.*;
+import com.fasterxml.jackson.core.exc.StreamConstraintsException;
+import com.fasterxml.jackson.databind.node.ObjectNode;
+import com.fasterxml.jackson.dataformat.yaml.ModuleTestBase;
+import com.fasterxml.jackson.dataformat.yaml.YAMLFactory;
+import com.fasterxml.jackson.dataformat.yaml.YAMLMapper;
+
+/**
+ * Unit test(s) for verifying handling of new (in 2.17 for YAML)
+ * StreamReadConstraints wrt maximum nesting depth.
+ */
+public class DeeplyNestedYAMLReadTest
+    extends ModuleTestBase
+{
+    private final YAMLMapper YAML_MAPPER = new YAMLMapper(
+            YAMLFactory.builder()
+                .streamReadConstraints(StreamReadConstraints.builder()
+                    .maxNestingDepth(10).build())
+            .build()
+            );
+
+    public void testDeepNestingStreaming() throws Exception
+    {
+        final String DOC = createDeepNestedDoc(10);
+        try (JsonParser p = YAML_MAPPER.createParser(DOC)) {
+            _testDeepNesting(p);
+        }
+    }
+
+    private void _testDeepNesting(JsonParser p) throws Exception
+    {
+        try {
+            while (p.nextToken() != null) { }
+            fail("expected StreamConstraintsException");
+        } catch (StreamConstraintsException e) {
+            assertEquals("Document nesting depth (11) exceeds the maximum allowed (10, from `StreamReadConstraints.getMaxNestingDepth()`)",
+                    e.getMessage());
+        }
+    }
+    
+    private String createDeepNestedDoc(final int depth) throws Exception
+    {
+        final ObjectNode root = YAML_MAPPER.createObjectNode();
+        ObjectNode curr = root;
+        for (int i = 0; i < depth; ++i) {
+            curr = curr.putObject("nested"+i);
+        }
+        curr.put("value", 42);
+        return YAML_MAPPER.writeValueAsString(root);
+    }
+}

yaml/src/test/java/com/fasterxml/jackson/dataformat/yaml/fuzz/FuzzYAML_65918_Test.java

@@ -0,0 +1,26 @@
+package com.fasterxml.jackson.dataformat.yaml.fuzz;
+
+import com.fasterxml.jackson.core.*;
+import com.fasterxml.jackson.core.exc.StreamConstraintsException;
+import com.fasterxml.jackson.databind.JsonNode;
+import com.fasterxml.jackson.databind.ObjectMapper;
+
+import com.fasterxml.jackson.dataformat.yaml.ModuleTestBase;
+
+public class FuzzYAML_65918_Test extends ModuleTestBase
+{
+    private final ObjectMapper MAPPER = newObjectMapper();
+
+    // https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=65918
+    public void testMalformed65918() throws Exception
+    {
+        byte[] doc = readResource("/data/fuzz-65918.yaml");
+        try (JsonParser p = MAPPER.createParser(doc)) {
+            JsonNode root = MAPPER.readTree(p);
+            fail("Should not pass, got: "+root);
+        } catch (StreamConstraintsException e) {
+            verifyException(e, "Document nesting depth");
+            verifyException(e, "exceeds the maximum allowed");
+        }
+    }
+}

yaml/src/test/resources/data/fuzz-65918.yaml

@@ -0,0 +1 @@
+  - - - -  - - - - - - -  - - - - -  - - - - - - - -  -    - - - -  - - - - - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - -  - - -  - - - - -  - - - - - - - -  -  - - - - - - - - - - - - - -C -C