AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1779123410アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jq はコマンドライン JSON プロセッサです。2f09060afab23fe9390cce7cb860b10416e1bf5f より前のコミットでは、libjq の jv_parse_sized() API は、明示的な長さパラメーターを持つカウントされたバッファを受け入れますが、そのエラー処理パスは、jv_string_fmt() の %s を使用して入力バッファをフォーマットします。これは、呼び出し元指定の長さを尊重するのではなく、NULL 終端が見つかるまで読み取ります。これは、無効な形式の JSON が NUL 終端されていないバッファで受け渡されると、エラー構築ロジックがバッファの終端を超えて領域外読み取りを実行することを意味します。信頼できない入力により jv_parse_sized() を呼び出す任意の libjq コンシューマーが脆弱性へアクセスでき、メモリレイアウトによっては、メモリ漏洩またはプロセス停止が発生する可能性があります。この問題は、コミット 2f09060afab23fe9390cce7cb860b10416e1bf5f でパッチが適用されています。(CVE-2026-39979)

  - jq はコマンドライン JSON プロセッサです。0c7d133c3c7e37c00b6d46b658a02244fdd3c784 をコミットする前に、jq はすべての JSON オブジェクトのハッシュテーブル操作にハードコードされた公開シード(0x432A9843)付きの MurmurHash3 を使用していました。これにより、攻撃者は、鍵衝突をオフラインで事前に計算することができました。すべてのキーが同じバケットにハッシュされる、細工された JSON オブジェクト(~100 KB)を提供することで、ハッシュテーブル検索が O(1) から O(n) にデグレードし、任意の jq 式が O(n) 操作に変わり、著しい CPU 消耗を引き起こします。これは、CI/CDパイプライン、Webサービス、データ処理スクリプトなどの一般的なjqユースケースに影響を及ぼし、必要なペイロードが少ないため、既存のヒープオーバーフローの問題よりもはるかに実用的でした。この問題はコミット0c7d133c3c7e37c00b6d46b658a02244fdd3c784で修正されています。(CVE-2026-40164)

  - jq はコマンドライン JSON プロセッサです。1.8.1以前では、jv_containsは深さ制限なしでネスト化された配列/オブジェクトを再帰します。十分にネスト化された入力構造(JSONパーサーは深さ10000でキャップするため、reduceを使用してプログラム的に構築されている)では、Cスタックが使い果たされます。(CVE-2026-40612)

  - jq はコマンドライン JSON プロセッサです。1.8.1 以前では、トップレベルの jq プログラムが
    -f は、現在の上流 HEAD に最初に埋め込まれた NULL バイトで切り捨てられます。次のような細工されたフィルターファイル。
    \x00 および任意のサフィックスが後に続く場合、NUL の前のプレフィックスのみとしてコンパイルおよび実行されます。これにより、JSON パーサーパスがすでに修正されていても、コンパイルパスで jq にポストCVE-2026-33948 プレフィックス/フルバッファの不一致が生じます。(CVE-2026-41256)

  - jq はコマンドライン JSON プロセッサです。1.8.1以前では、jqバイトコードVMのデータスタックは、符号付き整数で割り当てサイズを追跡します。スタックが 1 GiB を超えると (深くネスト化されたジェネレーターフォークを介して)、倍増算術オーバーフローが発生します。ラップされた値は realloc に渡され、攻撃者の影響を受けたオフセットを持つ memmove に使用されます。(CVE-2026-41257)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 13ホストには、dsa-6416アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debianセキュリティアドバイザリ DSA-6416-1 security@debian.org https://www.debian.org/security/Aron Xu 2026年8月7日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:jq CVE ID: CVE-2024-53427 CVE-2026-32316 CVE-2026-40612 CVE-2026-41256 CVE-2026-41257 CVE-2026-43894 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 CVE-2026-47770 CVE-2026-49839 CVE-2026-54679 Debian バグ:

    コマンドライン JSON プロセッサである jq に、複数のセキュリティ問題が発見されました。これにより、信頼できない入力を処理する際に、サービス拒否が発生するか、任意のコードが実行される可能性があります。

    この更新はさらに、CVE が割り当てられていない 3 つの問題(GHSA-ggc9-rpv2-xgpm、GHSA-gvwx-xj9r-3frq、GHSA-gf4g-95wj-4q4r)にも対処します。

    上記の修正から、2 つの挙動の変更が続きます。非常に大きな文字列を繰り返すかエスケープするなど、結果が内部文字列長制限を超える操作は、切り捨てられた結果を返す代わりにエラー文字列 Too Long で終了するようになりました。深くネスト化した値の比較または包含チェックは、スタックが使い果たされるまで繰り返されず、エラーを報告するようになりました。以前の動作に依存するフィルターは、以前は成功しているように見えたところに、エラーをレポートします。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 1.7.1-6+deb13u3 で修正されています。

    jq パッケージをアップグレードすることを推奨します。

    jq のセキュリティステータスの詳細については、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/jq

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jq はコマンドライン JSON プロセッサです。1.8.1 以前では、トップレベルの jq プログラムが
    -f は、現在の上流 HEAD に最初に埋め込まれた NULL バイトで切り捨てられます。次のような細工されたフィルターファイル。
    \x00 および任意のサフィックスが後に続く場合、NUL の前のプレフィックスのみとしてコンパイルおよび実行されます。これにより、JSON パーサーパスがすでに修正されていても、コンパイルパスで jq にポストCVE-2026-33948 プレフィックス/フルバッファの不一致が生じます。(CVE-2026-41256)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-b43264dedb のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    jq-1.8.2-4.fc45 の自動更新。

    ##### **変更ログ**

    ```
    * 2026 年 6 月 20 日(土)Filipe Rosset <filiperosset@fedoraproject.org> - 1.8.2-4
    - 古い Upstream パッチを削除しました
    * 2026 年 6 月 20 日(土)Filipe Rosset <filiperosset@fedoraproject.org> - 1.8.2-3
    - rawhide の packit をオプトインします
    * 2026 年 6 月 20 日(土)Filipe Rosset <filiperosset@fedoraproject.org> - 1.8.2-2
    - .gitignore ファイルを簡略化
    * 2026 年 6 月 20 日(土)Filipe Rosset <filiperosset@fedoraproject.org> - 1.8.2-1
    - 1.8.2 修正への更新 rhbz#2458354 rhbz#2477179 rhbz#2477180 rhbz#2477235 rhbz#2477236 rhbz#2477522 rhbz#2477523

    ```

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21248-1 アドバイザリで言及されています。

    - CVE-2025-48060:「jv_string_empty」の文字列データの処理が不適切なために、細工された入力を処理する際に、ヒープバッファオーバーフローとクラッシュが発生する可能性があります(bsc#1244116)。
    - CVE-2026-32316:「jvp_string_append()」および「jvp_string_copy_replace_bad」関数内の整数オーバーフローにより、信頼できない jq クエリを評価する際にヒープバッファオーバーフローが発生することがあります(bsc#1262044)。
    - CVE-2026-33947:関数「jv_setpath()」、「jv_getpath()」、および「delpaths_sorted()」の無限再帰により、細工された JSON 入力を処理する際に過剰なリソース消費が引き起こされる可能性があります(bsc#1262069)。
    - CVE-2026-39956:「_strindices」および「jv_string_indexes()」にランタイムのタイプチェックがないと、信頼できない jq フィルターをリリースビルドに対して評価するときにクラッシュが発生する可能性があります(bsc#1262070)。
    - CVE-2026-39979:「jv_parse_sized」の nul 終端でないカウントバッファの不適切な処理により、無効な形式の JSON(bsc#1262071)を処理するときに領域外読み取りが引き起こされる可能性があります。
    - CVE-2026-40164:ハードコードされたシードで「MurmurHash3」を使用すると、キー衝突の事前計算が可能になり、細工された JSON オブジェクトを処理する際に、リソースの枯渇によりサービス拒否が発生する可能性があります(bsc#1262072)。
    - CVE-2026-40612:「jv_contains」に深さ制限なしでネスト化された配列/オブジェクトを再帰させることで、細工された入力を処理するときに C スタックが枯渇する可能性があります(bsc#1265060)。
    - CVE-2026-41256:「-f」でロードされた最上位の jq プログラムの切り捨てにより、意図しないプログラムの実行を引き起こす可能性があります(bsc#1265061)。
    - CVE-2026-41257:「stack_reallocate」での整数オーバーフローにより、jq バイトコードを処理する際に、メモリ破損や DoS が発生する可能性があります(bsc#1265062)。
    - CVE-2026-43894:「decNumberFromString」「D2U()」マクロの符号付き整数オーバーフローにより、大きな数のリテラルを処理するときに領域外メモリ書き込みが発生する可能性があります(bsc#1265070)。
    - CVE-2026-33948:CLI 入力解析の「fgets()」ではなく「strlen()」によるバッファサイズの不適切な処理により、埋め込まれた NULL バイト(bsc#1262043)を介して検証バイパスが可能になります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、DLA-4662アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4662-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson氏 2026年7月1日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:jq バージョン:1.6-2.1+deb12u2 CVE ID: CVE-2026-32316 CVE-2026-33947 CVE-2026-33948 CVE-2026-39956 CVE-2026-39979 CVE-2026-40164 CVE-2026-41256 CVE-2026-41257 CVE-2026-43894 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 CVE-2026-47770 CVE-2026-49839 CVE-2026-54679 Debian バグ:1133921 1136445

    軽量で柔軟なコマンドライン JSON パーサーである jq が、複数のメモリ破損攻撃に対して脆弱であることが判明しました。これは、信頼できない入力を解析するときに、アプリケーションのクラッシュ、サービス拒否状態、およびヒープ破損による任意のコードの実行を引き起こす可能性があります。

    Debian 12 bookworm では、これらの問題はバージョン 1.6-2.1+deb12u2 で修正されました。

    Debian 11 のブルズアイでは、これらの問題は DLA-4599-1 と DLA-4661-1 で対処されています。

    jq パッケージをアップグレードすることを推奨します。

    jq のセキュリティステータスの詳細については、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/jq

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1779273835アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jq はコマンドライン JSON プロセッサです。0c7d133c3c7e37c00b6d46b658a02244fdd3c784 をコミットする前に、jq はすべての JSON オブジェクトのハッシュテーブル操作にハードコードされた公開シード(0x432A9843)付きの MurmurHash3 を使用していました。これにより、攻撃者は、鍵衝突をオフラインで事前に計算することができました。すべてのキーが同じバケットにハッシュされる、細工された JSON オブジェクト(~100 KB)を提供することで、ハッシュテーブル検索が O(1) から O(n) にデグレードし、任意の jq 式が O(n) 操作に変わり、著しい CPU 消耗を引き起こします。これは、CI/CDパイプライン、Webサービス、データ処理スクリプトなどの一般的なjqユースケースに影響を及ぼし、必要なペイロードが少ないため、既存のヒープオーバーフローの問題よりもはるかに実用的でした。この問題はコミット0c7d133c3c7e37c00b6d46b658a02244fdd3c784で修正されています。(CVE-2026-40164)

  - jq はコマンドライン JSON プロセッサです。1.8.1以前では、jv_containsは深さ制限なしでネスト化された配列/オブジェクトを再帰します。十分にネスト化された入力構造(JSONパーサーは深さ10000でキャップするため、reduceを使用してプログラム的に構築されている)では、Cスタックが使い果たされます。(CVE-2026-40612)

  - jq はコマンドライン JSON プロセッサです。1.8.1 以前では、トップレベルの jq プログラムが
    -f は、現在の上流 HEAD に最初に埋め込まれた NULL バイトで切り捨てられます。次のような細工されたフィルターファイル。
    \x00 および任意のサフィックスが後に続く場合、NUL の前のプレフィックスのみとしてコンパイルおよび実行されます。これにより、JSON パーサーパスがすでに修正されていても、コンパイルパスで jq にポストCVE-2026-33948 プレフィックス/フルバッファの不一致が生じます。(CVE-2026-41256)

  - jq はコマンドライン JSON プロセッサです。1.8.1以前では、jqバイトコードVMのデータスタックは、符号付き整数で割り当てサイズを追跡します。スタックが 1 GiB を超えると (深くネスト化されたジェネレーターフォークを介して)、倍増算術オーバーフローが発生します。ラップされた値は realloc に渡され、攻撃者の影響を受けたオフセットを持つ memmove に使用されます。(CVE-2026-41257)

  - jq はコマンドライン JSON プロセッサです。1.8.1 以前では、decNumberFromString に INT_MAX-1 (2147483646) 桁の数値リテラルが与えられると、符号付き整数演算中に D2U() マクロがオーバーフローします。ラップされた負の値は、ヒープ割り当てサイズチェックをバイパスし、関数に 30 バイトのスタックバッファを使用させ、スタックフレームより下の 1.43 GiB のオフセットで 7 億 1500 万の 16 ビットユニット(1.4 GiB)を書き込みます。
    書き込まれたコンテンツは完全に攻撃者がコントロールします(解析された10進数、ユニットごとに3つパック)。
    (CVE-2026-43894)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 11ホストには、dla-4599アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4599-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreans Henriksson氏 2026年5月25日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:jq バージョン:1.6-2.1+deb11u2 CVE ID: CVE-2026-32316 CVE-2026-33947 CVE-2026-33948 CVE-2026-39956 CVE-2026-39979 CVE-2026-40164 CVE-2026-41256 CVE-2026-41257 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 Debian バグ:1136445

    軽量で柔軟なコマンドライン JSON パーサーである jq が、複数のメモリ破損攻撃に対して脆弱であることが判明しました。これは、信頼できない入力を解析するときに、アプリケーションのクラッシュ、サービス拒否状態、およびヒープ破損による任意のコードの実行を引き起こす可能性があります。

    Debian 11 bullseye では、これらの問題はバージョン 1.6-2.1+deb11u2 で修正されました。

    jq パッケージをアップグレードすることを推奨します。

    jq のセキュリティステータスの詳細については、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/jq

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linuxの 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1779273835アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jq はコマンドライン JSON プロセッサです。0c7d133c3c7e37c00b6d46b658a02244fdd3c784 をコミットする前に、jq はすべての JSON オブジェクトのハッシュテーブル操作にハードコードされた公開シード(0x432A9843)付きの MurmurHash3 を使用していました。これにより、攻撃者は、鍵衝突をオフラインで事前に計算することができました。すべてのキーが同じバケットにハッシュされる、細工された JSON オブジェクト(~100 KB)を提供することで、ハッシュテーブル検索が O(1) から O(n) にデグレードし、任意の jq 式が O(n) 操作に変わり、著しい CPU 消耗を引き起こします。これは、CI/CDパイプライン、Webサービス、データ処理スクリプトなどの一般的なjqユースケースに影響を及ぼし、必要なペイロードが少ないため、既存のヒープオーバーフローの問題よりもはるかに実用的でした。この問題はコミット0c7d133c3c7e37c00b6d46b658a02244fdd3c784で修正されています。(CVE-2026-40164)

  - jq はコマンドライン JSON プロセッサです。1.8.1以前では、jv_containsは深さ制限なしでネスト化された配列/オブジェクトを再帰します。十分にネスト化された入力構造(JSONパーサーは深さ10000でキャップするため、reduceを使用してプログラム的に構築されている)では、Cスタックが使い果たされます。(CVE-2026-40612)

  - jq はコマンドライン JSON プロセッサです。1.8.1 以前では、トップレベルの jq プログラムが
    -f は、現在の上流 HEAD に最初に埋め込まれた NULL バイトで切り捨てられます。次のような細工されたフィルターファイル。
    \x00 および任意のサフィックスが後に続く場合、NUL の前のプレフィックスのみとしてコンパイルおよび実行されます。これにより、JSON パーサーパスがすでに修正されていても、コンパイルパスで jq にポストCVE-2026-33948 プレフィックス/フルバッファの不一致が生じます。(CVE-2026-41256)

  - jq はコマンドライン JSON プロセッサです。1.8.1以前では、jqバイトコードVMのデータスタックは、符号付き整数で割り当てサイズを追跡します。スタックが 1 GiB を超えると (深くネスト化されたジェネレーターフォークを介して)、倍増算術オーバーフローが発生します。ラップされた値は realloc に渡され、攻撃者の影響を受けたオフセットを持つ memmove に使用されます。(CVE-2026-41257)

  - jq はコマンドライン JSON プロセッサです。1.8.1 以前では、decNumberFromString に INT_MAX-1 (2147483646) 桁の数値リテラルが与えられると、符号付き整数演算中に D2U() マクロがオーバーフローします。ラップされた負の値は、ヒープ割り当てサイズチェックをバイパスし、関数に 30 バイトのスタックバッファを使用させ、スタックフレームより下の 1.43 GiB のオフセットで 7 億 1500 万の 16 ビットユニット(1.4 GiB)を書き込みます。
    書き込まれたコンテンツは完全に攻撃者がコントロールします(解析された10進数、ユニットごとに3つパック)。
    (CVE-2026-43894)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4275-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    修正されたセキュリティ問題:

    - CVE-2015-8863:tokenadd() 関数におけるヒープバッファオーバーフロー(bsc#976992)。
    - CVE-2023-50246:メモリを不適切に処理すると、「decNumberToString」でヒープバッファオーバーフローが発生することがあります(bsc#1218034)。
    - CVE-2023-50268:decNumber を使用するビルドにおけるスタックベースのバッファオーバーフロー(bsc#1218038)。
    - CVE-2024-53427:decNumber.c の decNumberCopy 関数のスタックバッファオーバーフロー(bsc#1238078)。
    - CVE-2025-9403:run_jq_tests() で到達可能なアサーション(bsc#1248600)。
    - CVE-2026-33948:CLI 入力解析により、埋め込まれた NULL バイトを介して検証バイパスが可能になります(bsc#1262043)。
    - CVE-2026-40164:予測可能なハッシュ衝突により、サービス拒否(bsc#1262072)が発生する可能性があります。
    - CVE-2026-40612:jv_contains、深さ制限なしでネスト化された配列/オブジェクトを再帰し、スタックオーバーフロー(bsc#1265060)を引き起こす可能性があります。
    - CVE-2026-41256:組み込み NUL が、-f でロードされた最上位の jq プログラムを切り捨て、意図しないプログラムの実行を引き起こす可能性があります(bsc#1265061)。
    - CVE-2026-41257:「stack_reallocate」での整数オーバーフローにより、メモリ破損および DoS が引き起こされる可能性があります(bsc#1265062)。
    - CVE-2026-43894:「decNumber」の符号付き整数オーバーフローにより、領域外のメモリ書き込みが発生する可能性があります(bsc#1265070)。
    - CVE-2026-43895:インポートパスに埋め込まれた NULL バイトにより、ポリシーバイパスおよび機密情報漏洩が発生する可能性があります(bsc#1265071)。
    - CVE-2026-43896:「jv_object_merge_recursive()」での無限再帰により、C スタックの枯渇とプロセスのクラッシュが引き起こされる可能性があります(bsc#1265075)。
    - CVE-2026-44777:2 つの有効なモジュールがお互いに「インクルード」する場合の、通常のモジュールローダーにおける制御されない再帰が、スタック枯渇とプロセスのクラッシュにつながる可能性があります(bsc#1265076)。
    - CVE-2026-47770:深い構造的等式(bsc#1269221)のスタックオーバーフロー。
    - CVE-2026-49839:「String too long」の後に「--rawfile」の無効な状態を再使用すると、ヒープバッファオーバーフローが発生する可能性があります(bsc#1269220)。
    - CVE-2026-54679:「jvp_string_append」での整数オーバーフローにより、32 ビットシステムでバッファオーバーランが発生することがあります(bsc#1269390)。

    jq の変更:

    バージョン 1.7.1 への更新:

     * デフォルトの背景色を明るい背景により適したものにします。
     * インライン jq スクリプトを--.後に受け渡すことができるようにします
     * jq_init() が失敗した場合に発生する可能性のある初期化されていない値の逆参照を修正します
     * paths/0 と paths/1 を単純化します。
     * 文字列リテラルの U+001F を拒否します。
     * block_bind_library にある未使用の nref アキュムレータを削除します。
     * 大量の未使用の変数、および役に立たない割り当てを削除します。
     * main.c:未使用の EXIT_STATUS_EXACT オプションを削除します。
     * double から int に適切にキャストされた数値をインデックスとして実際に使用します。
     * src/builtin.c:type_error/type_error2 の不要な jv_copy-s を削除します。
     * LLVM 10 UBSAN がキャッチする未定義の動作を削除します。
     * decnum を decimal64 ではなく binary64 (double)に変換します。
     これにより、jqはJSON仕様が示唆しているように動作し、他の言語とよりよくなります。
     * ltrimstr/1 と rtrimstr/1 の無効な入力におけるメモリリークを修正します。
     * setpath/2 に対する失敗した get でのメモリリークを修正します。
     * 「n」で始まるペイロードを持つ nan に対しても、json 解析からの nan を修正します。
     * コメントにキャリッジリターン文字を許可します。
     * man ページにリンクを生成します。
     * C++ の extern C を追加します。
     * 環境変数を使用してオブジェクトキーの色を構成できるようにしますJQ_COLORS。
     * デフォルトの null の色を明るい黒に変更します。
     * NO_COLOR環境変数を尊重し、カラー出力を無効にします。
     * --help 出力を改善しました。すべてのオプションとより良い順序に言及するようになりました。
     * --exit-code/-e オプションを使用する終了コードの複数の問題を修正します。
     * NUL(ゼロバイト)区切り出力用の --raw-output0 を追加します。
     * アサートクラッシュを修正し、 --jsonarg に対して JSON を検証します。
     * 非推奨の --argfile オプションを削除します。
     * 精度を維持するために、10 進数リテラルを使用します。比較演算は精度を尊重しますが、算術演算は切り捨てられる可能性があります。
     * 入力オブジェクトまたは配列の投影を放出するために、新しい内蔵 pick(stream)を追加します。
     * デバッグと同様に動作するが、stderr に書き込む前に入力にフィルターを適用する、新しいビルトインデバッグ(msgs)を追加。
     * 新しいビルトインスキャンを追加します($re; $flags)。文書化されたが実装されていません。
     * 新しい内蔵 abs を追加して絶対値を取得します。これにより、数値のリテラル値が長さとして保持され、ファブが浮動小数点に変換される可能性があります。
     * else-branch がない場合は許可します。スキップすると、else-branch は となります。(ID)。
     * オブジェクトリテラルのキーとして $binding を使用することを許可します。
     * を使用する際に、チェーンされたインデックス間のドットを許可します。['インデックス']
     * チェーン値イテレータに対するドットを許可します。[], .[]?
     * try/catch を修正する必要以上にキャッチします。
     * 一部のビルトインを高速化およびリファクタリングします。また scalars_or_empty/0 を削除します。
     * 今では停止し、次の入力に進むのではなく、すぐに終了halt_error。
     * 以前の変換エラーの後に文字列から数値に変換する問題を修正します。
     * 無効な JSON 出力を引き起こす、一部のプラットフォームで大きな数を表示する問題を修正します。
     * 配列に対して空の割り当てを使用して削除を修正します。
     * より多くの場所でキーワードをバインド名として使用できるようにします。
     * JSON で nan を NaN として使用することを許可。
     * modulemeta でモジュールの関数名を漏洩します。
     * 文字列を NUL で処理するために contains/1 を修正します。
     * stderr/0 を修正して、装飾なしで RAW テキストを出力するようにします。
     * nth/2 を修正し、範囲外のインデックスで空を放出します。
     * アサートせず、代わりに無効な unicode コードポイントを置換するように implode を修正します。
     * 文字列で一致が重複している場合に備えて、indexes/1 と rindex/1 を修正します。
     * sub/3 を修正して、グローバル検索および置換(gsub)操作に関連する問題を解決します。
     * 空の正規表現の一致を修正します。
     * モジュロ演算子のオーバーフロー例外を修正します。
     * 空の文字列を放出するために、文字列の 0(および 1 未満)の乗算を修正。
     * libjq とスレッドの使用時に発生するセグメンテーション違反を修正します。
     * ゼロ除数での除算とリマインダーの一定な折り畳みを修正します。
     * null エラーをスローするための error/0、error/1 を修正します。
     * よりシンプルかつ高速な転置。
     * walk/1 のシンプルで効率的な実装。
     * leaf_paths、recurse_down で非推奨のフィルターを削除します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
362160	AlmaLinux 9.2 [TuxCare] セキュリティ更新:jq/jq-devel の複数の脆弱性(ALMALINUX9.2:CLSA-2026:1779123410)	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	high
333519	Debian dsa-6416:jq - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/8	2026/8/8	high
314271	Linux Distros のパッチ未適用の脆弱性: CVE-2026-41256	Nessus	Misc.	2026/5/11	2026/8/7	medium
324000	Fedora 45:jq(2026-b43264dedb)	Nessus	Fedora Local Security Checks	2026/7/1	2026/7/15	high
326028	openSUSE 16 セキュリティ更新:jq(openSUSE-SU-2026:21248-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/10/7	high
324575	Debian DLA-4662:jq - セキュリティ更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/15	high
362358	AlmaLinux 9.6 【TuxCare】セキュリティ更新:jq/jq-develの複数の脆弱性(ALMALINUX9.6:CLSA-2026:1779273835)	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	high
316545	Debian DLA-4599:jq - セキュリティ更新	Nessus	Debian Local Security Checks	2026/5/25	2026/7/15	high
362050	Rocky Linux 9.6 [TuxCare] セキュリティ更新:jq/jq-devel の複数の脆弱性(ALMALINUX9.6:CLSA-2026:1779273835)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
348728	SUSE SLED15 / SLES15 セキュリティ更新:jq(SUSE-SU-2026:4275-1)	Nessus	SuSE Local Security Checks	2026/9/22	2026/9/27	high

検出

プラグインの検索

high

high

medium

high

high

high

high

high

high

high