AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1779123410アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jq はコマンドライン JSON プロセッサです。2f09060afab23fe9390cce7cb860b10416e1bf5f より前のコミットでは、libjq の jv_parse_sized() API は、明示的な長さパラメーターを持つカウントされたバッファを受け入れますが、そのエラー処理パスは、jv_string_fmt() の %s を使用して入力バッファをフォーマットします。これは、呼び出し元指定の長さを尊重するのではなく、NULL 終端が見つかるまで読み取ります。これは、無効な形式の JSON が NUL 終端されていないバッファで受け渡されると、エラー構築ロジックがバッファの終端を超えて領域外読み取りを実行することを意味します。信頼できない入力により jv_parse_sized() を呼び出す任意の libjq コンシューマーが脆弱性へアクセスでき、メモリレイアウトによっては、メモリ漏洩またはプロセス停止が発生する可能性があります。この問題は、コミット 2f09060afab23fe9390cce7cb860b10416e1bf5f でパッチが適用されています。(CVE-2026-39979)

  - jq はコマンドライン JSON プロセッサです。0c7d133c3c7e37c00b6d46b658a02244fdd3c784 をコミットする前に、jq はすべての JSON オブジェクトのハッシュテーブル操作にハードコードされた公開シード(0x432A9843)付きの MurmurHash3 を使用していました。これにより、攻撃者は、鍵衝突をオフラインで事前に計算することができました。すべてのキーが同じバケットにハッシュされる、細工された JSON オブジェクト(~100 KB)を提供することで、ハッシュテーブル検索が O(1) から O(n) にデグレードし、任意の jq 式が O(n) 操作に変わり、著しい CPU 消耗を引き起こします。これは、CI/CDパイプライン、Webサービス、データ処理スクリプトなどの一般的なjqユースケースに影響を及ぼし、必要なペイロードが少ないため、既存のヒープオーバーフローの問題よりもはるかに実用的でした。この問題はコミット0c7d133c3c7e37c00b6d46b658a02244fdd3c784で修正されています。(CVE-2026-40164)

  - jq はコマンドライン JSON プロセッサです。1.8.1以前では、jv_containsは深さ制限なしでネスト化された配列/オブジェクトを再帰します。十分にネスト化された入力構造(JSONパーサーは深さ10000でキャップするため、reduceを使用してプログラム的に構築されている)では、Cスタックが使い果たされます。(CVE-2026-40612)

  - jq はコマンドライン JSON プロセッサです。1.8.1 以前では、トップレベルの jq プログラムが
    -f は、現在の上流 HEAD に最初に埋め込まれた NULL バイトで切り捨てられます。次のような細工されたフィルターファイル。
    \x00 および任意のサフィックスが後に続く場合、NUL の前のプレフィックスのみとしてコンパイルおよび実行されます。これにより、JSON パーサーパスがすでに修正されていても、コンパイルパスで jq にポストCVE-2026-33948 プレフィックス/フルバッファの不一致が生じます。(CVE-2026-41256)

  - jq はコマンドライン JSON プロセッサです。1.8.1以前では、jqバイトコードVMのデータスタックは、符号付き整数で割り当てサイズを追跡します。スタックが 1 GiB を超えると (深くネスト化されたジェネレーターフォークを介して)、倍増算術オーバーフローが発生します。ラップされた値は realloc に渡され、攻撃者の影響を受けたオフセットを持つ memmove に使用されます。(CVE-2026-41257)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

AlmaLinux 9.2 [TuxCare] セキュリティ更新:jq/jq-devel の複数の脆弱性(ALMALINUX9.2:CLSA-2026:1779123410)

high Nessus プラグイン ID 362160

依存関係が見つかりません