リモート Azure Linux 3.0 ホストにインストールされている CBL-Mariner Releases のバージョンは、テスト済みバージョンより前です。したがって、CVE-2026-40164 のアドバイザリに記載されている脆弱性の影響を受けます。

  - jq は、コマンドラインの JSON プロセッサです。コミット 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 以前の jq は、すべての JSON オブジェクトハッシュテーブル操作に対してハードコードされた公開シード0x432A9843を使用して MurmurHash3 を使用しました。これにより、攻撃者はキー衝突をオフラインで事前計算できます。すべてのキーが同じバケットにハッシュされている細工された JSON オブジェクト~100 KBを供給することで、ハッシュテーブル検索が O(1) から O(n) へデグレードし、jq 式を O(n) 操作に変換し、大量の CPU を発生させました。枯渇させる可能性があります。これは、CI/CD パイプライン、Web サービス、データ処理スクリプトなどの一般的な jq のユースケースに影響を与えました。また、少ないペイロードで必要なため、既存のヒープオーバーフローの問題よりも悪用がはるかに実際的でした。この問題は、コミット 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 でパッチされています。CVE-2026-40164

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新: CBL-Mariner Releases (CVE-2026-40164)

high Nessus プラグイン ID 307505

バージョン 1.1