リモートのDebian 13ホストには、dsa-6416アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debianセキュリティアドバイザリ DSA-6416-1 security@debian.org https://www.debian.org/security/Aron Xu 2026年8月7日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:jq CVE ID: CVE-2024-53427 CVE-2026-32316 CVE-2026-40612 CVE-2026-41256 CVE-2026-41257 CVE-2026-43894 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 CVE-2026-47770 CVE-2026-49839 CVE-2026-54679 Debian バグ:

    コマンドライン JSON プロセッサである jq に、複数のセキュリティ問題が発見されました。これにより、信頼できない入力を処理する際に、サービス拒否が発生するか、任意のコードが実行される可能性があります。

    この更新はさらに、CVE が割り当てられていない 3 つの問題(GHSA-ggc9-rpv2-xgpm、GHSA-gvwx-xj9r-3frq、GHSA-gf4g-95wj-4q4r)にも対処します。

    上記の修正から、2 つの挙動の変更が続きます。非常に大きな文字列を繰り返すかエスケープするなど、結果が内部文字列長制限を超える操作は、切り捨てられた結果を返す代わりにエラー文字列 Too Long で終了するようになりました。深くネスト化した値の比較または包含チェックは、スタックが使い果たされるまで繰り返されず、エラーを報告するようになりました。以前の動作に依存するフィルターは、以前は成功しているように見えたところに、エラーをレポートします。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 1.7.1-6+deb13u3 で修正されています。

    jq パッケージをアップグレードすることを推奨します。

    jq のセキュリティステータスの詳細については、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/jq

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 11ホストには、dla-4661アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4661-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson氏 2026年7月1日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:jq バージョン:1.6-2.1+deb11u3 CVE ID: CVE-2026-43894 CVE-2026-47770 CVE-2026-49839 CVE-2026-54679 Debian バグ:1136445

    軽量で柔軟なコマンドライン JSON パーサーである jq が、複数のメモリ破損攻撃に対して脆弱であることが判明しました。これは、信頼できない入力を解析するときに、アプリケーションのクラッシュ、サービス拒否状態、およびヒープ破損による任意のコードの実行を引き起こす可能性があります。

    Debian 11 bullseye では、これらの問題はバージョン 1.6-2.1+deb11u3 で修正されました。

    jq パッケージをアップグレードすることを推奨します。

    jq のセキュリティステータスの詳細については、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/jq

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4275-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    修正されたセキュリティ問題:

    - CVE-2015-8863:tokenadd() 関数におけるヒープバッファオーバーフロー(bsc#976992)。
    - CVE-2023-50246:メモリを不適切に処理すると、「decNumberToString」でヒープバッファオーバーフローが発生することがあります(bsc#1218034)。
    - CVE-2023-50268:decNumber を使用するビルドにおけるスタックベースのバッファオーバーフロー(bsc#1218038)。
    - CVE-2024-53427:decNumber.c の decNumberCopy 関数のスタックバッファオーバーフロー(bsc#1238078)。
    - CVE-2025-9403:run_jq_tests() で到達可能なアサーション(bsc#1248600)。
    - CVE-2026-33948:CLI 入力解析により、埋め込まれた NULL バイトを介して検証バイパスが可能になります(bsc#1262043)。
    - CVE-2026-40164:予測可能なハッシュ衝突により、サービス拒否(bsc#1262072)が発生する可能性があります。
    - CVE-2026-40612:jv_contains、深さ制限なしでネスト化された配列/オブジェクトを再帰し、スタックオーバーフロー(bsc#1265060)を引き起こす可能性があります。
    - CVE-2026-41256:組み込み NUL が、-f でロードされた最上位の jq プログラムを切り捨て、意図しないプログラムの実行を引き起こす可能性があります(bsc#1265061)。
    - CVE-2026-41257:「stack_reallocate」での整数オーバーフローにより、メモリ破損および DoS が引き起こされる可能性があります(bsc#1265062)。
    - CVE-2026-43894:「decNumber」の符号付き整数オーバーフローにより、領域外のメモリ書き込みが発生する可能性があります(bsc#1265070)。
    - CVE-2026-43895:インポートパスに埋め込まれた NULL バイトにより、ポリシーバイパスおよび機密情報漏洩が発生する可能性があります(bsc#1265071)。
    - CVE-2026-43896:「jv_object_merge_recursive()」での無限再帰により、C スタックの枯渇とプロセスのクラッシュが引き起こされる可能性があります(bsc#1265075)。
    - CVE-2026-44777:2 つの有効なモジュールがお互いに「インクルード」する場合の、通常のモジュールローダーにおける制御されない再帰が、スタック枯渇とプロセスのクラッシュにつながる可能性があります(bsc#1265076)。
    - CVE-2026-47770:深い構造的等式(bsc#1269221)のスタックオーバーフロー。
    - CVE-2026-49839:「String too long」の後に「--rawfile」の無効な状態を再使用すると、ヒープバッファオーバーフローが発生する可能性があります(bsc#1269220)。
    - CVE-2026-54679:「jvp_string_append」での整数オーバーフローにより、32 ビットシステムでバッファオーバーランが発生することがあります(bsc#1269390)。

    jq の変更:

    バージョン 1.7.1 への更新:

     * デフォルトの背景色を明るい背景により適したものにします。
     * インライン jq スクリプトを--.後に受け渡すことができるようにします
     * jq_init() が失敗した場合に発生する可能性のある初期化されていない値の逆参照を修正します
     * paths/0 と paths/1 を単純化します。
     * 文字列リテラルの U+001F を拒否します。
     * block_bind_library にある未使用の nref アキュムレータを削除します。
     * 大量の未使用の変数、および役に立たない割り当てを削除します。
     * main.c:未使用の EXIT_STATUS_EXACT オプションを削除します。
     * double から int に適切にキャストされた数値をインデックスとして実際に使用します。
     * src/builtin.c:type_error/type_error2 の不要な jv_copy-s を削除します。
     * LLVM 10 UBSAN がキャッチする未定義の動作を削除します。
     * decnum を decimal64 ではなく binary64 (double)に変換します。
     これにより、jqはJSON仕様が示唆しているように動作し、他の言語とよりよくなります。
     * ltrimstr/1 と rtrimstr/1 の無効な入力におけるメモリリークを修正します。
     * setpath/2 に対する失敗した get でのメモリリークを修正します。
     * 「n」で始まるペイロードを持つ nan に対しても、json 解析からの nan を修正します。
     * コメントにキャリッジリターン文字を許可します。
     * man ページにリンクを生成します。
     * C++ の extern C を追加します。
     * 環境変数を使用してオブジェクトキーの色を構成できるようにしますJQ_COLORS。
     * デフォルトの null の色を明るい黒に変更します。
     * NO_COLOR環境変数を尊重し、カラー出力を無効にします。
     * --help 出力を改善しました。すべてのオプションとより良い順序に言及するようになりました。
     * --exit-code/-e オプションを使用する終了コードの複数の問題を修正します。
     * NUL(ゼロバイト)区切り出力用の --raw-output0 を追加します。
     * アサートクラッシュを修正し、 --jsonarg に対して JSON を検証します。
     * 非推奨の --argfile オプションを削除します。
     * 精度を維持するために、10 進数リテラルを使用します。比較演算は精度を尊重しますが、算術演算は切り捨てられる可能性があります。
     * 入力オブジェクトまたは配列の投影を放出するために、新しい内蔵 pick(stream)を追加します。
     * デバッグと同様に動作するが、stderr に書き込む前に入力にフィルターを適用する、新しいビルトインデバッグ(msgs)を追加。
     * 新しいビルトインスキャンを追加します($re; $flags)。文書化されたが実装されていません。
     * 新しい内蔵 abs を追加して絶対値を取得します。これにより、数値のリテラル値が長さとして保持され、ファブが浮動小数点に変換される可能性があります。
     * else-branch がない場合は許可します。スキップすると、else-branch は となります。(ID)。
     * オブジェクトリテラルのキーとして $binding を使用することを許可します。
     * を使用する際に、チェーンされたインデックス間のドットを許可します。['インデックス']
     * チェーン値イテレータに対するドットを許可します。[], .[]?
     * try/catch を修正する必要以上にキャッチします。
     * 一部のビルトインを高速化およびリファクタリングします。また scalars_or_empty/0 を削除します。
     * 今では停止し、次の入力に進むのではなく、すぐに終了halt_error。
     * 以前の変換エラーの後に文字列から数値に変換する問題を修正します。
     * 無効な JSON 出力を引き起こす、一部のプラットフォームで大きな数を表示する問題を修正します。
     * 配列に対して空の割り当てを使用して削除を修正します。
     * より多くの場所でキーワードをバインド名として使用できるようにします。
     * JSON で nan を NaN として使用することを許可。
     * modulemeta でモジュールの関数名を漏洩します。
     * 文字列を NUL で処理するために contains/1 を修正します。
     * stderr/0 を修正して、装飾なしで RAW テキストを出力するようにします。
     * nth/2 を修正し、範囲外のインデックスで空を放出します。
     * アサートせず、代わりに無効な unicode コードポイントを置換するように implode を修正します。
     * 文字列で一致が重複している場合に備えて、indexes/1 と rindex/1 を修正します。
     * sub/3 を修正して、グローバル検索および置換(gsub)操作に関連する問題を解決します。
     * 空の正規表現の一致を修正します。
     * モジュロ演算子のオーバーフロー例外を修正します。
     * 空の文字列を放出するために、文字列の 0(および 1 未満)の乗算を修正。
     * libjq とスレッドの使用時に発生するセグメンテーション違反を修正します。
     * ゼロ除数での除算とリマインダーの一定な折り畳みを修正します。
     * null エラーをスローするための error/0、error/1 を修正します。
     * よりシンプルかつ高速な転置。
     * walk/1 のシンプルで効率的な実装。
     * leaf_paths、recurse_down で非推奨のフィルターを削除します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1783339505アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jq はコマンドライン JSON プロセッサです。1.8.2以前は、十分に深くネスト化した2つの配列を==演算子と比較すると、jqの通常のコマンドラインサーフェスでCスタックが使い果たされ、スタック枯渇によるサービス拒否(制御されない再帰)が発生します。クラッシュは jq の再帰構造比較コードで発生し、深くネスト化した配列を比較する際に、src/jv.c の jvp_array_equal() および jv_equal() を通じて再帰が繰り返されます。src/jv_aux.c の jv_cmp() を通る近くのソートコンパレータパスが、同じ欠落した再帰ガードからより大きなネスト深度でスタックをオーバーフローします。攻撃者がコントロールする深くネスト化された JSON 値で jq 比較を実行している人や、信頼できないデータが == 比較パスに到達できるコンテキストに jq を埋め込んでいる人は、影響を受けます。この脆弱性は 1.8.2 で修正されました。(CVE-2026-47770)

  - jq はコマンドライン JSON プロセッサです。1.8.2より前に、「jq --rawfile」は、処理されたオーバーサイズ文字列エラーを無効な状態の再利用およびアサーション無効ビルドの実際のヒープ領域外書き込みに変えることができます。jv_load_file(raw=1) が攻撃者が制御するファイルを読み取るとき、同じ jv 文字列アキュムレータにファイルチャンクを繰り返し追加します。jv_string_append_buf() が jv_invalid_with_msg(String too long)を返すと、raw-file ループは止まりません。ファイルにもう 1 つ以上のバイトが含まれている場合、次のループ反復では、すでに無効になっているオブジェクトに新しいチャンクが追加されます。アサーションが有効な場合、これは jvp_string_ptr() で中止します。
    アサーションが無効の場合、無効なオブジェクトは文字列オブジェクトとして解釈され、ASan はヒープバッファオーバーフローを報告します。この脆弱性は 1.8.2 で修正されました。(CVE-2026-49839)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1782901522アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - jq はコマンドライン JSON プロセッサです。1.8.2以前は、十分に深くネスト化した2つの配列を==演算子と比較すると、jqの通常のコマンドラインサーフェスでCスタックが使い果たされ、スタック枯渇によるサービス拒否(制御されない再帰)が発生します。クラッシュは jq の再帰構造比較コードで発生し、深くネスト化した配列を比較する際に、src/jv.c の jvp_array_equal() および jv_equal() を通じて再帰が繰り返されます。src/jv_aux.c の jv_cmp() を通る近くのソートコンパレータパスが、同じ欠落した再帰ガードからより大きなネスト深度でスタックをオーバーフローします。攻撃者がコントロールする深くネスト化された JSON 値で jq 比較を実行している人や、信頼できないデータが == 比較パスに到達できるコンテキストに jq を埋め込んでいる人は、影響を受けます。この脆弱性は 1.8.2 で修正されました。(CVE-2026-47770)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている jq のバージョンは、1.6-17 より前です。したがって、ALAS2-2026-3496 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    jq は、コマンドラインの JSON プロセッサです。整数オーバーフローの脆弱性がバージョン 1.8.1 を通じて、jvp_string_append()関数とjvp_string_copy_replace_bad関数内に存在します。合計長が2^31バイトを超える文字列を連結すると、バッファ割り当てサイズの計算で32ビットの符号なし整数オーバーフローが発生し、その結果、ヒープバッファのサイズが大幅に小さくなります。その後のメモリコピー操作では、完全な文字列データがこのサイズの小さいバッファに書き込まれ、CWE-190(整数オーバーフロー)に分類されるヒープバッファオーバーフローが発生し、CWE-122(ヒープベースのバッファオーバーフロー)につながる可能性があります。攻撃者が、極端に大きな文字列を生成するクエリを作成することで、プロセスをクラッシュさせたり、ヒープ破損を通じてさらなる悪用を発生させたりできるため、信頼できない jq クエリを評価するシステムが影響を受けます。根本的な原因は、すでにサイズ制限がある配列やオブジェクトとは異なり、文字列サイズの境界チェックがないことです。この問題は、コミットe47e56d226519635768e6aab2f38f0ab037c09e5で対処されています。(CVE-2026-32316)

    jq は、コマンドラインの JSON プロセッサです。バージョン 1.8.1 以前では、jq の src/jv_aux.c にある関数 jv_setpath()、jv_getpath()、delpaths_sorted() が無限再帰を使用します。その深度は呼び出し元が指定したパス配列の長さによって制御され、深さ制限は適用されません。攻撃者は、~65,000 個の整数(~200 KB)のフラット配列を含む JSON ドキュメントを用意できます。信頼できる jq フィルターがこれをパス引数として使用すると、C コールスタックが使い果たされ、セグメンテーション違反(SIGSEGV)でプロセスがクラッシュします。このバイパスが機能するのは、既存のMAX_PARSING_DEPTH(10,000)制限が JSON パーサーのみを保護し、プログラムで配列を任意の長さに構築できるランタイムパス操作は保護しないためです。影響は、jqのsetpath、getpath、delpathsビルトインを通じて信頼できないJSON入力を処理するアプリケーションまたはサービスに影響を与えるサービス拒否(回復不能なクラッシュ)です。この問題は、コミットfb59f1491058d58bdc3e8dd28f1773d1ac690a1fで対処されています。(CVE-2026-33947)

    jq は、コマンドラインの JSON プロセッサです。6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b より前のコミットには、CLI 入力解析において、埋め込まれた NULL バイトによる検証バイパスが可能になる脆弱性があります。ファイルまたは stdin から JSON を読み取るとき、jq は fgets() からの実際のバイトカウントの代わりに、strlen() を使用してバッファの長さを決定します。これにより、最初の NULL バイトの入力が切り捨てられ、先行するプレフィックスのみが解析されます。これにより、攻撃者が、NUL バイトの前に無害な JSON プレフィックスを付けて、その後に悪意のある末尾データを付けて入力を細工することが可能になります。この場合、jq は接尾辞を密かに破棄しながら、プレフィックスだけを有効な JSON として検証します。
    信頼できないJSONを下流のコンシューマーに転送する前に検証するのにjqに依存するワークフローは、パーサー差分攻撃の影響を受けやすくなります。これらのコンシューマーは、悪意のある末尾のバイトを含む完全な入力を処理する可能性があるためです。この問題は、コミット 6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b によりパッチ修正されています。
    (CVE-2026-33948)

    jq は、コマンドラインの JSON プロセッサです。69785bf77f86e2ea1b4a20ca86775916889e91c9 後のコミットでは、
    jq の src/builtin.c 内の_strindicesビルトインは、引数が文字列であることを検証せずに jv_string_indexes() に直接渡します。また、src/jv.c の jv_string_indexes() は、-DNDEBUG でコンパイルされたリリースビルドで省略された assert() チェックにのみ依存しています。これにより、攻撃者は _strindices(0) のような入力で jq を簡単にクラッシュさせ、IEEE-754 ビットパターンが選択されたポインターにマッピングされる数値を細工することで、制御されたポインターデリファレンスと制限されたメモリ読み取り/プローブプリミティブを実現します。信頼できない jq フィルターをリリースビルドに照らして評価するデプロイメントは、すべて脆弱です。この問題は、コミット fdf8ef0f0810e3d365cdd5160de43db46f57ed03 でパッチが適用されています。(CVE-2026-39956)

    jq は、コマンドラインの JSON プロセッサです。2f09060afab23fe9390cce7cb860b10416e1bf5f より前のコミットでは、libjq の jv_parse_sized() API は、明示的な長さパラメーターを持つカウントされたバッファを受け入れますが、そのエラー処理パスは、jv_string_fmt() の %s を使用して入力バッファをフォーマットします。これは、呼び出し元指定の長さを尊重するのではなく、NULL 終端が見つかるまで読み取ります。これは、無効な形式の JSON が NUL 終端されていないバッファで受け渡されると、エラー構築ロジックがバッファの終端を超えて領域外読み取りを実行することを意味します。信頼できない入力により jv_parse_sized() を呼び出す任意の libjq コンシューマーが脆弱性へアクセスでき、メモリレイアウトによっては、メモリ漏洩またはプロセス停止が発生する可能性があります。この問題は、コミット 2f09060afab23fe9390cce7cb860b10416e1bf5f でパッチが適用されています。(CVE-2026-39979)

    jq は、コマンドラインの JSON プロセッサです。0c7d133c3c7e37c00b6d46b658a02244fdd3c784 をコミットする前に、jq はすべての JSON オブジェクトのハッシュテーブル操作にハードコードされた公開シード(0x432A9843)付きの MurmurHash3 を使用していました。これにより、攻撃者は、鍵衝突をオフラインで事前に計算することができました。すべてのキーが同じバケットにハッシュされる、細工された JSON オブジェクト(~100 KB)を提供することで、ハッシュテーブル検索が O(1) から O(n) にデグレードし、任意の jq 式を O(n2) 操作に変えて、著しい CPU 消耗を引き起こします。これは、CI/CDパイプライン、Webサービス、データ処理スクリプトなどの一般的なjqユースケースに影響を及ぼし、必要なペイロードが少ないため、既存のヒープオーバーフローの問題よりもはるかに実用的でした。この問題はコミット0c7d133c3c7e37c00b6d46b658a02244fdd3c784で修正されています。(CVE-2026-40164)

    jq は、コマンドラインの JSON プロセッサです。1.8.1 以前では、jv_object_merge_recursive() の無限再帰により、細工された jq プログラムがセグメンテーション違反でプロセスをクラッシュさせることが可能です。この関数は、両方のオペランドがオブジェクトである場合、*演算子を使用して到達できます。(CVE-2026-43896)

    この脆弱性は、jv_equal()とjv_cmp()の無限再帰であり、等価性チェック(==、!=)または比較(sort、unique、bsearch、min_by、max_by)中に深くネストされたJSON構造を処理するときにスタックオーバーフローを引き起こします。(CVE-2026-47770)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linuxの 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1783339505アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jq はコマンドライン JSON プロセッサです。1.8.2以前は、十分に深くネスト化した2つの配列を==演算子と比較すると、jqの通常のコマンドラインサーフェスでCスタックが使い果たされ、スタック枯渇によるサービス拒否(制御されない再帰)が発生します。クラッシュは jq の再帰構造比較コードで発生し、深くネスト化した配列を比較する際に、src/jv.c の jvp_array_equal() および jv_equal() を通じて再帰が繰り返されます。src/jv_aux.c の jv_cmp() を通る近くのソートコンパレータパスが、同じ欠落した再帰ガードからより大きなネスト深度でスタックをオーバーフローします。攻撃者がコントロールする深くネスト化された JSON 値で jq 比較を実行している人や、信頼できないデータが == 比較パスに到達できるコンテキストに jq を埋め込んでいる人は、影響を受けます。この脆弱性は 1.8.2 で修正されました。(CVE-2026-47770)

  - jq はコマンドライン JSON プロセッサです。1.8.2より前に、「jq --rawfile」は、処理されたオーバーサイズ文字列エラーを無効な状態の再利用およびアサーション無効ビルドの実際のヒープ領域外書き込みに変えることができます。jv_load_file(raw=1) が攻撃者が制御するファイルを読み取るとき、同じ jv 文字列アキュムレータにファイルチャンクを繰り返し追加します。jv_string_append_buf() が jv_invalid_with_msg(String too long)を返すと、raw-file ループは止まりません。ファイルにもう 1 つ以上のバイトが含まれている場合、次のループ反復では、すでに無効になっているオブジェクトに新しいチャンクが追加されます。アサーションが有効な場合、これは jvp_string_ptr() で中止します。
    アサーションが無効の場合、無効なオブジェクトは文字列オブジェクトとして解釈され、ASan はヒープバッファオーバーフローを報告します。この脆弱性は 1.8.2 で修正されました。(CVE-2026-49839)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、DLA-4662アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4662-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson氏 2026年7月1日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:jq バージョン:1.6-2.1+deb12u2 CVE ID: CVE-2026-32316 CVE-2026-33947 CVE-2026-33948 CVE-2026-39956 CVE-2026-39979 CVE-2026-40164 CVE-2026-41256 CVE-2026-41257 CVE-2026-43894 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 CVE-2026-47770 CVE-2026-49839 CVE-2026-54679 Debian バグ:1133921 1136445

    軽量で柔軟なコマンドライン JSON パーサーである jq が、複数のメモリ破損攻撃に対して脆弱であることが判明しました。これは、信頼できない入力を解析するときに、アプリケーションのクラッシュ、サービス拒否状態、およびヒープ破損による任意のコードの実行を引き起こす可能性があります。

    Debian 12 bookworm では、これらの問題はバージョン 1.6-2.1+deb12u2 で修正されました。

    Debian 11 のブルズアイでは、これらの問題は DLA-4599-1 と DLA-4661-1 で対処されています。

    jq パッケージをアップグレードすることを推奨します。

    jq のセキュリティステータスの詳細については、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/jq

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jq はコマンドライン JSON プロセッサです。1.8.2以前は、十分に深くネスト化した2つの配列を==演算子と比較すると、jqの通常のコマンドラインサーフェスでCスタックが使い果たされ、スタック枯渇によるサービス拒否(制御されない再帰)が発生します。クラッシュは jq の再帰構造比較コードで発生し、深くネスト化した配列を比較する際に、src/jv.c の jvp_array_equal() および jv_equal() を通じて再帰が繰り返されます。src/jv_aux.c の jv_cmp() を通る近くのソートコンパレータパスが、同じ欠落した再帰ガードからより大きなネスト深度でスタックをオーバーフローします。攻撃者がコントロールする深くネスト化された JSON 値で jq 比較を実行している人や、信頼できないデータが == 比較パスに到達できるコンテキストに jq を埋め込んでいる人は、影響を受けます。この脆弱性は 1.8.2 で修正されました。(CVE-2026-47770)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
333519	Debian dsa-6416:jq - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/8	2026/8/8	high
324574	Debian DLA-4661:jq - セキュリティ更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/15	medium
348728	SUSE SLED15 / SLES15 セキュリティ更新:jq(SUSE-SU-2026:4275-1)	Nessus	SuSE Local Security Checks	2026/9/22	2026/9/27	high
360862	AlmaLinux 9.6 【TuxCare】セキュリティ更新:jq/jq-develの複数の脆弱性(ALMALINUX9.6:CLSA-2026:1783339505)	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
361705	AlmaLinux 9.2 [TuxCare] セキュリティ更新:jq/jq-devel(ALMALINUX9.2:CLSA-2026:1782901522)	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
325564	Amazon Linux 2:jq、 --advisory ALAS2-2026-3496 (ALAS-2026-3496)	Nessus	Amazon Linux Local Security Checks	2026/7/8	2026/7/15	medium
360788	Rocky Linux 9.6 [TuxCare] セキュリティ更新:jq/jq-devel の複数の脆弱性(ALMALINUX9.6:CLSA-2026:1783339505)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	medium
324575	Debian DLA-4662:jq - セキュリティ更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/15	high
317295	Linux Distros のパッチ未適用の脆弱性: CVE-2026-47770	Nessus	Misc.	2026/5/28	2026/8/7	medium

検出

プラグインの検索

high

medium

high

medium

medium

medium

medium

high

medium