遠端 Debian 12 主機已安裝的套件會受到 dla-4840 公告中提及的弱點影響。

    - Quigley debian-lts@lists.debian.org ------------------------------------------------------------------------- https://www.debian.org/lts/security/Simon Debian LTS 公告 DLA-4840-1 2026 年 10 月 16 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：jq 版本：1.6-2.1+deb12u3 CVE ID： CVE-2026-32316

    1.6-2.1+deb12u2 中的修正 CVE-2026-32316 阻止了一個字串增長超過其限制，但重複帶有 * 的字串仍然可以繼續附加。現在無法容納的重複會因重複字串結果太長而失敗。上游透過新增 jv_string_repeat（） 來修正此問題 1.8 ，這將是 libjq1 中的新符號，因此此更新會檢查已經存在的乘法函數中的長度。計數低於 1 仍會傳回與之前相同的結果。

    此更新也修正了兩個沒有 CVE ID 的記憶體錯誤。
    args2obj（） 在指定 jq_compile_args（） 陣列時釋放名稱及其值兩次 （GHSA-gf4g-95wj-4q4r）。jq 命令列總是傳遞一個對象，因此這只會影響連結 libjq 並傳遞陣列的程式。f_multiply（） 重複使用了它正在重複的字串，因此 （a*200）*30 從已經釋放的記憶體中複製。這是上游提交 9163e096。

    非常深的 delpaths 仍然在 jv_array_length（） 中止，這是之後 DLA-4662-1報告的崩潰。在此處套用之前，正在將此修正程式傳送到上游。

    對於 Debian 12 書蟲來說，這個問題已經在 1.6-2.1+deb12u3 版本中得到修正。

    我們建議您升級 jq 套件。

    有關 jq 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/jq

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4840：jq - 安全性更新

high Nessus Plugin ID 366688

版本 1.1