AlmaLinux 9.2 [TuxCare] セキュリティ更新:jq/jq-devel(ALMALINUX9.2:CLSA-2026:1777322146)

high Nessus プラグイン ID 352952

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1777322146アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- jq はコマンドライン JSON プロセッサです。整数オーバーフローの脆弱性がバージョン 1.8.1 を通じて、jvp_string_append()関数とjvp_string_copy_replace_bad関数内に存在します。合計長が2^31バイトを超える文字列を連結すると、バッファ割り当てサイズの計算で32ビットの符号なし整数オーバーフローが発生し、その結果、ヒープバッファのサイズが大幅に小さくなります。その後のメモリコピー操作では、完全な文字列データがこのサイズの小さいバッファに書き込まれ、CWE-190(整数オーバーフロー)に分類されるヒープバッファオーバーフローが発生し、CWE-122(ヒープベースのバッファオーバーフロー)につながる可能性があります。攻撃者が、極端に大きな文字列を生成するクエリを作成することで、プロセスをクラッシュさせたり、ヒープ破損を通じてさらなる悪用を発生させたりできるため、信頼できない jq クエリを評価するシステムが影響を受けます。根本的な原因は、すでにサイズ制限がある配列やオブジェクトとは異なり、文字列サイズの境界チェックがないことです。この問題は、コミットe47e56d226519635768e6aab2f38f0ab037c09e5で対処されています。(CVE-2026-32316)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。