リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21248-1 アドバイザリで言及されています。

    - CVE-2025-48060:「jv_string_empty」の文字列データの処理が不適切なために、細工された入力を処理する際に、ヒープバッファオーバーフローとクラッシュが発生する可能性があります(bsc#1244116)。
    - CVE-2026-32316:「jvp_string_append()」および「jvp_string_copy_replace_bad」関数内の整数オーバーフローにより、信頼できない jq クエリを評価する際にヒープバッファオーバーフローが発生することがあります(bsc#1262044)。
    - CVE-2026-33947:関数「jv_setpath()」、「jv_getpath()」、および「delpaths_sorted()」の無限再帰により、細工された JSON 入力を処理する際に過剰なリソース消費が引き起こされる可能性があります(bsc#1262069)。
    - CVE-2026-39956:「_strindices」および「jv_string_indexes()」にランタイムのタイプチェックがないと、信頼できない jq フィルターをリリースビルドに対して評価するときにクラッシュが発生する可能性があります(bsc#1262070)。
    - CVE-2026-39979:「jv_parse_sized」の nul 終端でないカウントバッファの不適切な処理により、無効な形式の JSON(bsc#1262071)を処理するときに領域外読み取りが引き起こされる可能性があります。
    - CVE-2026-40164:ハードコードされたシードで「MurmurHash3」を使用すると、キー衝突の事前計算が可能になり、細工された JSON オブジェクトを処理する際に、リソースの枯渇によりサービス拒否が発生する可能性があります(bsc#1262072)。
    - CVE-2026-40612:「jv_contains」に深さ制限なしでネスト化された配列/オブジェクトを再帰させることで、細工された入力を処理するときに C スタックが枯渇する可能性があります(bsc#1265060)。
    - CVE-2026-41256:「-f」でロードされた最上位の jq プログラムの切り捨てにより、意図しないプログラムの実行を引き起こす可能性があります(bsc#1265061)。
    - CVE-2026-41257:「stack_reallocate」での整数オーバーフローにより、jq バイトコードを処理する際に、メモリ破損や DoS が発生する可能性があります(bsc#1265062)。
    - CVE-2026-43894:「decNumberFromString」「D2U()」マクロの符号付き整数オーバーフローにより、大きな数のリテラルを処理するときに領域外メモリ書き込みが発生する可能性があります(bsc#1265070)。
    - CVE-2026-33948:CLI 入力解析の「fgets()」ではなく「strlen()」によるバッファサイズの不適切な処理により、埋め込まれた NULL バイト(bsc#1262043)を介して検証バイパスが可能になります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

openSUSE 16 セキュリティ更新:jq(openSUSE-SU-2026:21248-1)

high Nessus プラグイン ID 326028

バージョン 1.3