AlmaLinux 9.6 [TuxCare] セキュリティ更新:jq/jq-devel(ALMALINUX9.6:CLSA-2026:1786762772)

medium Nessus プラグイン ID 360625

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1786762772アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- jq はコマンドライン JSON プロセッサです。バージョン 1.8.2 より前では、jq の src/builtin.c 内の _strindices ビルトインは、引数が文字列であることを検証せずに jv_string_indexes() に直接渡していました。また、src/jv.c の jv_string_indexes() は、-DNDEBUG でコンパイルされたリリースビルドでストリップされた assert() チェックにのみ依存していました。これにより、攻撃者は _strindices(0) のような入力で jq を簡単にクラッシュさせ、IEEE-754 ビットパターンが選択されたポインターにマッピングされる数値を細工することで、制御されたポインターデリファレンスと制限されたメモリ読み取り/プローブプリミティブを実現します。信頼できない jq フィルターをリリースビルドに照らして評価するデプロイメントは、すべて脆弱です。この問題は、バージョン 1.8.2 の一部であるコミット fdf8ef0f0810e3d365cdd5160de43db46f57ed03 でパッチされています。(CVE-2026-39956)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。