遠端 Debian 11 主機安裝的套件會受到 dla-4599 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4599-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreans Henriksson 2026 年 5 月 25 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： jq 版本 ： 1.6-2.1+deb11u2 CVE ID ： CVE-2026-32316 CVE-2026-33947 CVE-2026-33948 CVE-2026-39956 CVE-2026-39979 CVE-2026-40164 CVE-2026-41256 CVE-2026-41257 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 Debian 錯誤 ： 1136445

    研究發現，jq 是一個輕量級且靈活的命令列 JSON 剖析器，容易受到多個記憶體損毀攻擊，這可能導致應用程式崩潰、拒絕服務情況，以及在剖析不受信任的輸入時，可能會透過堆積損毀而執行任意程式碼。

    對於 Debian 11 bullseye，這些問題已在 1.6-2.1+deb11u2 版本中修復。

    我們建議您升級 jq 套件。

    有關 jq 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/jq

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - jq 是命令行 JSON 處理器。在 69785bf77f86e2ea1b4a20ca86775916889e91c9 之後的提交中，
    jq src/builtin.c 中的 _strindices builtin 直接將其引數傳遞至 jv_string_indexes()而不驗證其為字串且 src/jv.c 中的 jv_string_indexes() 僅依賴於 assert() 檢查這些檢查已在使用 -DNDEBUG 編譯的 release 版本中去除。這允許攻擊者利用 _strindices(0) 等輸入及特製其 IEEE-754 位元模式對應至所選指標的數值造成 jq 損毀進而達到受控制的指標解除參照和有限的記憶體讀取/探查原語。任何針對 版本組建評估未受信任 jq 篩選器的部署都容易受到影響。此問題已在認可 fdf8ef0f0810e3d365cdd5160de43db46f57ed03 中修補。 (CVE-2026-39956)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Azure Linux 3.0 主機上安裝的 CBL-Mariner Releases 為測試前的版本。因此，它會受到 CVE-2026-39956 公告中提及的一個弱點影響。

  - jq 是命令行 JSON 處理器。在 69785bf77f86e2ea1b4a20ca86775916889e91c9 之後的提交中，
    jq src/builtin.c 中的 _strindices builtin 直接將其引數傳遞至 jv_string_indexes()而不驗證其為字串且 src/jv.c 中的 jv_string_indexes() 僅依賴於 assert() 檢查這些檢查已在使用 -DNDEBUG 編譯的 release 版本中去除。這允許攻擊者利用 _strindices(0) 等輸入及特製其 IEEE-754 位元模式對應至所選指標的數值造成 jq 損毀進而達到受控制的指標解除參照和有限的記憶體讀取/探查原語。任何針對 版本組建評估未受信任 jq 篩選器的部署都容易受到影響。此問題已在認可 fdf8ef0f0810e3d365cdd5160de43db46f57ed03 中修補。 (CVE-2026-39956)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4662 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4662-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 7 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：jq 版本：1.6-2.1+deb12u2 CVE ID： CVE-2026-32316 CVE-2026-33947 CVE-2026-33948 CVE-2026-39956 CVE-2026-39979 CVE-2026-40164 CVE-2026-41256 CVE-2026-41257 CVE-2026-43894 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 CVE-2026-47770 CVE-2026-49839 CVE-2026-54679 Debian 錯誤：1133921 1136445

    研究發現，jq 是一個輕量級且靈活的命令列 JSON 剖析器，容易受到多個記憶體損毀攻擊，這可能導致應用程式崩潰、拒絕服務情況，以及在剖析不受信任的輸入時，可能會透過堆積損毀而執行任意程式碼。

    對於 Debian 12 書蟲來說，這些問題已經在 1.6-2.1+deb12u2 版本中得到了修復。

    對於 Debian 11 bullseye，這些問題已在 和 DLA-4661-1中DLA-4599-1解決。

    我們建議您升級 jq 套件。

    有關 jq 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/jq

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 jq 版本早於 1.6-17。因此，它會受到 ALAS2-2026-3496 公告中所提及的多個弱點影響。

    jq 是命令行 JSON 處理器。透過 jvp_string_append（） 和 jvp_string_copy_replace_bad 函式中的 version 1.8.1 存在整數溢位弱點，其中串連總長度超過 2^31 位元組的字串會導致緩衝區配置大小計算中出現 32 位元無正負號整數溢位，進而導致堆積緩衝區大小嚴重不足。隨後的記憶體複製操作會將完整的字串資料寫入這個大小不足的緩衝區，導致分類為 CWE-190（整數溢位）的堆積緩衝區溢位，從而導致 CWE-122（堆積型緩衝區溢位）。任何評估不受信任 jq 查詢的系統都會受到影響，因為攻擊者可能會透過製作產生極大字串的查詢，使處理程序當機，或可能透過堆積損毀來實現進一步的利用。根本原因是缺少字串大小邊界檢查，這與已經有大小限制的陣列和物件不同。此問題已在提交 e47e56d226519635768e6aab2f38f0ab037c09e5 中解決。（CVE-2026-32316）

    jq 是命令行 JSON 處理器。在以下版本 1.8.1 中，jq 的 src/jv_aux.c 中的函數 jv_setpath（）、jv_getpath（） 和 delpaths_sorted（） 使用無限遞迴，其深度由調用方提供的路徑陣列的長度控制，沒有強制執行深度限制。攻擊者可以提供包含 ~65,000 個整數 （~200 KB） 的平面陣列的 JSON 文件，當受信任的 jq 篩選器將其用作路徑引數時，會耗盡 C 呼叫堆疊並因分割錯誤 （SIGSEGV） 而使處理程序崩潰。此繞過之所以有效，是因為現有的MAX_PARSING_DEPTH （10,000） 限制只會保護 JSON 剖析器，而無法保護執行階段路徑作業，其中陣列可以透過程式設計方式建構為任意長度。其影響是拒絕服務 （無法復原的損毀），會影響任何透過 jq 的 setpath、getpath 或 delpaths 內建記憶體處理不受信任 JSON 輸入的應用程式或服務。此問題已在提交 fb59f1491058d58bdc3e8dd28f1773d1ac690a1f 中解決。（CVE-2026-33947）

    jq 是命令行 JSON 處理器。6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b 之前的提交包含弱點，其中 CLI 輸入剖析允許透過內嵌 NUL 位元組繞過驗證。從檔案或 stdin 讀取 JSON 時，jq 使用 strlen（） 來確定緩衝區長度，而不是來自 fgets（） 的實際位元組計數，導致它截斷第一個 NUL 位元組的輸入並僅剖析前面的前綴。這可讓攻擊者在 NUL 位元組之前製作具有良性 JSON 前置詞的輸入，後面接著惡意尾端資料，其中 jq 僅將前置詞驗證為有效 JSON，同時默默捨棄後綴。
    依賴 jq 在將不受信任的 JSON 轉送給下游消費者之前驗證不受信任的 JSON 的工作流程容易受到剖析器差異攻擊，因為這些消費者可能會處理包括惡意尾端位元組在內的完整輸入。此問題已透過提交 6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b 修補。
    (CVE-2026-33948)

    jq 是命令行 JSON 處理器。在 69785bf77f86e2ea1b4a20ca86775916889e91c9 之後的提交中，
    jq 的 src/builtin.c 中的_strindices內建直接將其引數傳遞給 jv_string_indexes（），而不驗證它們是否為字串，而 src/jv.c 中的 jv_string_indexes（） 僅依賴 assert（） 檢查，這些檢查在使用 -DNDEBUG 編譯的發行版本中被剝離。這允許攻擊者使用 _strindices（0） 等輸入輕鬆地使 jq 崩潰，並通過製作一個數值，其 IEEE-754 位模式映射到選定的指標，實現受控的指標解除參照和有限的內存讀取/探測原語。任何針對發行版本評估不受信任 jq 篩選器的部署都容易受到攻擊。此問題已在提交 fdf8ef0f0810e3d365cdd5160de43db46f57ed03 中修補。（CVE-2026-39956）

    jq 是命令行 JSON 處理器。在 2f09060afab23fe9390cce7cb860b10416e1bf5f 之前的提交中，libjq 中的 jv_parse_sized（） API 接受具有明確長度參數的計數緩衝區，但其錯誤處理路徑使用 jv_string_fmt（） 中的 %s 格式化輸入緩衝區，該緩衝區會讀取直到找到 NUL 終止符，而不是遵守調用方提供的長度。這表示在非 NUL 終止緩衝區中傳遞格式錯誤的 JSON 時，錯誤建構邏輯會在緩衝區結尾執行越界讀取。任何具有不受信任輸入的 libjq 消費者調用 jv_parse_sized（） 都可存取此弱點，而且視記憶體配置而定，可能會導致記憶體洩漏或處理程序終止。此問題已在提交 2f09060afab23fe9390cce7cb860b10416e1bf5f 中修補。（CVE-2026-39979）

    jq 是命令行 JSON 處理器。在提交 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 之前，jq 將 MurmurHash3 與硬式編碼、公開可見的種子 （0x432A9843） 用於所有 JSON 物件雜湊表作業，這允許攻擊者離線預先計算金鑰衝突。透過提供特製的 JSON 物件 （~100 KB），其中所有金鑰都雜湊到同一個儲存桶中，雜湊表查詢從 O（1） 降級到 O（n），將任何 jq 運算式變成 O（n2） 操作並導致嚴重的 CPU 耗盡。這會影響常見的 jq 使用案例，例如 CI/CD 管道、Web 服務和資料處理指令碼，並且比現有的堆積溢位問題更實用，因為它只需要很小的負載。此問題已在提交 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 中修補。（CVE-2026-40164）

    jq 是命令行 JSON 處理器。在 1.8.1 和之前，jv_object_merge_recursive（） 中的無限遞迴允許精心製作的 jq 程式使用段錯誤使進程崩潰。當兩個運算元都是物件時，可以透過 * 運算子存取此函式。（CVE-2026-43896）

    此弱點是 jv_equal（） 和 jv_cmp（） 中的無限遞迴，在相等檢查 （==、！=） 或比較 （sort、unique、bsearch、min_by、max_by） 期間處理深度巢狀 JSON 結構時，會導致堆疊溢位。（CVE-2026-47770）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 主機上安裝的多個套件受到 USN-8202-1 公告中提及的多個弱點影響。

    據發現，jq 未正確處理特定字串串連。攻擊者可能會利用此問題造成拒絕服務或執行任意程式碼。在 Ubuntu 16.04 LTS, Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, Ubuntu 22.04 LTS, Ubuntu 24.04 LTS and Ubuntu 25.10 中解決了此問題。(CVE-2026-32316)

    據發現，jq 在某些情況下未正確處理遞回。攻擊者可能利用此問題造成拒絕服務。(CVE-2026-33947)

    據發現，jq 未正確處理終止字串。攻擊者可能會利用此問題造成拒絕服務或執行任意程式碼。在 Ubuntu 16.04 LTS, Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, Ubuntu 22.04 LTS, Ubuntu 24.04 LTS and Ubuntu 25.10 中解決了此問題。(CVE-2026-33948)

    據發現，jq 未正確處理特定值類型。攻擊者可能會利用此問題造成拒絕服務或洩漏敏感資訊。在 Ubuntu 16.04 LTS, Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, Ubuntu 22.04 LTS, Ubuntu 24.04 LTS and Ubuntu 25.10 中解決了此問題。(CVE-2026-39956)

    據發現，jq 未正確處理特定字串格式。攻擊者可能會利用此問題洩漏敏感資訊或造成拒絕服務。(CVE-2026-39979)

    據發現，jq 會針對雜湊表作業使用修正的種子。攻擊者可能利用此問題造成拒絕服務。在 Ubuntu 16.04 LTS, Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, Ubuntu 22.04 LTS, Ubuntu 24.04 LTS and Ubuntu 25.10 中解決了此問題。(CVE-2026-40164)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2026-1815 公告中所提及的多個弱點影響。

    jq 是命令行 JSON 處理器。透過 jvp_string_append（） 和 jvp_string_copy_replace_bad 函式中的 version 1.8.1 存在整數溢位弱點，其中串連總長度超過 2^31 位元組的字串會導致緩衝區配置大小計算中出現 32 位元無正負號整數溢位，進而導致堆積緩衝區大小嚴重不足。隨後的記憶體複製操作會將完整的字串資料寫入這個大小不足的緩衝區，導致分類為 CWE-190（整數溢位）的堆積緩衝區溢位，從而導致 CWE-122（堆積型緩衝區溢位）。任何評估不受信任 jq 查詢的系統都會受到影響，因為攻擊者可能會透過製作產生極大字串的查詢，使處理程序當機，或可能透過堆積損毀來實現進一步的利用。根本原因是缺少字串大小邊界檢查，這與已經有大小限制的陣列和物件不同。此問題已在提交 e47e56d226519635768e6aab2f38f0ab037c09e5 中解決。（CVE-2026-32316）

    jq 是命令行 JSON 處理器。在以下版本 1.8.1 中，jq 的 src/jv_aux.c 中的函數 jv_setpath（）、jv_getpath（） 和 delpaths_sorted（） 使用無限遞迴，其深度由調用方提供的路徑陣列的長度控制，沒有強制執行深度限制。攻擊者可以提供包含 ~65,000 個整數 （~200 KB） 的平面陣列的 JSON 文件，當受信任的 jq 篩選器將其用作路徑引數時，會耗盡 C 呼叫堆疊並因分割錯誤 （SIGSEGV） 而使處理程序崩潰。此繞過之所以有效，是因為現有的MAX_PARSING_DEPTH （10,000） 限制只會保護 JSON 剖析器，而無法保護執行階段路徑作業，其中陣列可以透過程式設計方式建構為任意長度。其影響是拒絕服務 （無法復原的損毀），會影響任何透過 jq 的 setpath、getpath 或 delpaths 內建記憶體處理不受信任 JSON 輸入的應用程式或服務。此問題已在提交 fb59f1491058d58bdc3e8dd28f1773d1ac690a1f 中解決。（CVE-2026-33947）

    jq 是命令行 JSON 處理器。6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b 之前的提交包含弱點，其中 CLI 輸入剖析允許透過內嵌 NUL 位元組繞過驗證。從檔案或 stdin 讀取 JSON 時，jq 使用 strlen（） 來確定緩衝區長度，而不是來自 fgets（） 的實際位元組計數，導致它截斷第一個 NUL 位元組的輸入並僅剖析前面的前綴。這可讓攻擊者在 NUL 位元組之前製作具有良性 JSON 前置詞的輸入，後面接著惡意尾端資料，其中 jq 僅將前置詞驗證為有效 JSON，同時默默捨棄後綴。
    依賴 jq 在將不受信任的 JSON 轉送給下游消費者之前驗證不受信任的 JSON 的工作流程容易受到剖析器差異攻擊，因為這些消費者可能會處理包括惡意尾端位元組在內的完整輸入。此問題已透過提交 6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b 修補。
    (CVE-2026-33948)

    jq 是命令行 JSON 處理器。在 69785bf77f86e2ea1b4a20ca86775916889e91c9 之後的提交中，
    jq 的 src/builtin.c 中的_strindices內建直接將其引數傳遞給 jv_string_indexes（），而不驗證它們是否為字串，而 src/jv.c 中的 jv_string_indexes（） 僅依賴 assert（） 檢查，這些檢查在使用 -DNDEBUG 編譯的發行版本中被剝離。這允許攻擊者使用 _strindices（0） 等輸入輕鬆地使 jq 崩潰，並通過製作一個數值，其 IEEE-754 位模式映射到選定的指標，實現受控的指標解除參照和有限的內存讀取/探測原語。任何針對發行版本評估不受信任 jq 篩選器的部署都容易受到攻擊。此問題已在提交 fdf8ef0f0810e3d365cdd5160de43db46f57ed03 中修補。（CVE-2026-39956）

    jq 是命令行 JSON 處理器。在 2f09060afab23fe9390cce7cb860b10416e1bf5f 之前的提交中，libjq 中的 jv_parse_sized（） API 接受具有明確長度參數的計數緩衝區，但其錯誤處理路徑使用 jv_string_fmt（） 中的 %s 格式化輸入緩衝區，該緩衝區會讀取直到找到 NUL 終止符，而不是遵守調用方提供的長度。這表示在非 NUL 終止緩衝區中傳遞格式錯誤的 JSON 時，錯誤建構邏輯會在緩衝區結尾執行越界讀取。任何具有不受信任輸入的 libjq 消費者調用 jv_parse_sized（） 都可存取此弱點，而且視記憶體配置而定，可能會導致記憶體洩漏或處理程序終止。此問題已在提交 2f09060afab23fe9390cce7cb860b10416e1bf5f 中修補。（CVE-2026-39979）

    jq 是命令行 JSON 處理器。在提交 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 之前，jq 將 MurmurHash3 與硬式編碼、公開可見的種子 （0x432A9843） 用於所有 JSON 物件雜湊表作業，這允許攻擊者離線預先計算金鑰衝突。透過提供特製的 JSON 物件 （~100 KB），其中所有金鑰都雜湊到同一個儲存桶中，雜湊表查詢從 O（1） 降級到 O（n），將任何 jq 運算式變成 O（n2） 操作並導致嚴重的 CPU 耗盡。這會影響常見的 jq 使用案例，例如 CI/CD 管道、Web 服務和資料處理指令碼，並且比現有的堆積溢位問題更實用，因為它只需要很小的負載。此問題已在提交 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 中修補。（CVE-2026-40164）

    jq 是命令行 JSON 處理器。在 1.8.1 和之前，當 decNumberFromString 提供 INT_MAX-1 （2147483646） 位數的數字常值時，D2U（） 巨集會在 signed-int 算術期間溢位。包裝的負值會略過堆積配置大小檢查，導致函式使用 30 位元組堆疊緩衝區，然後寫入 [？]七億一千五百萬個 16 位元單位 （[？]1.4 GiB） 位於堆疊框架下方的偏移 1.43 GiB 處。書面內容完全由攻擊者控制 （剖析後的十進位數，每個單位打包 3 個）。
    (CVE-2026-43894)

    jq 是命令行 JSON 處理器。在 1.8.1 和之前，jv_object_merge_recursive（） 中的無限遞迴允許精心製作的 jq 程式使用段錯誤使進程崩潰。當兩個運算元都是物件時，可以透過 * 運算子存取此函式。（CVE-2026-43896）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
316545	Debian dla-4599：jq - 安全性更新	Nessus	Debian Local Security Checks	2026/5/25	2026/7/15	high
306407	Linux Distros 未修補的弱點：CVE-2026-39956	Nessus	Misc.	2026/4/14	2026/7/1	medium
307503	Azure Linux 3.0 安全性更新：CBL-Mariner Releases (CVE-2026-39956)	Nessus	Azure Linux Local Security Checks	2026/4/19	2026/7/15	medium
324575	Debian dla-4662：jq - 安全性更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/15	high
325564	Amazon Linux 2 ： jq， --advisory ALAS2-2026-3496 （ALAS-2026-3496）	Nessus	Amazon Linux Local Security Checks	2026/7/8	2026/7/15	medium
310123	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10: jq 弱點 (USN-8202-1)	Nessus	Ubuntu Local Security Checks	2026/4/24	2026/7/15	medium
319811	Amazon Linux 2023：jq、jq-devel (ALAS2023-2026-1815)	Nessus	Amazon Linux Local Security Checks	2026/6/8	2026/7/15	medium

偵測

搜尋 Plugin

high

medium

medium

high

medium

medium

medium