遠端 Debian 13 主機安裝的套件會受到 dsa-6416 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6416-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 8 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：jq CVE ID： CVE-2024-53427 CVE-2026-32316 CVE-2026-40612 CVE-2026-41256 CVE-2026-41257 CVE-2026-43894 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 CVE-2026-47770 CVE-2026-49839 CVE-2026-54679 Debian 錯誤：

    在命令列 JSON 處理器 jq 中發現多個安全問題，這可能導致拒絕服務或在處理不受信任的輸入時執行任意程式碼。

    此更新還解決了三個未分配 CVE 的問題：GHSA-ggc9-rpv2-xgpm、GHSA-gvwx-xj9r-3frq 和 GHSA-gf4g-95wj-4q4r。

    上述修正後有兩個行為變更。結果會超過內部字串長度限制的作業，例如重複或逸出非常大的字串，現在會以錯誤字串太長終止，而不是傳回截斷的結果。對深度巢狀值的比較或包含檢查現在會報告錯誤，而不是在堆疊用盡之前重複檢查。依賴先前行為的篩選器會報告先前看似成功的錯誤。

    對於穩定版 （trixie），這些問題已在 1.7.1-6+deb13u3 版中修正。

    我們建議您升級 jq 套件。

    有關 jq 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/jq

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝的套件會受到 dla-4661 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4661-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 7 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： jq 版本 ： 1.6-2.1+deb11u3 CVE ID ： CVE-2026-43894 CVE-2026-47770 CVE-2026-49839 CVE-2026-54679 Debian 錯誤 ： 1136445

    研究發現，jq 是一個輕量級且靈活的命令列 JSON 剖析器，容易受到多個記憶體損毀攻擊，這可能導致應用程式崩潰、拒絕服務情況，以及在剖析不受信任的輸入時，可能會透過堆積損毀而執行任意程式碼。

    對於 Debian 11 bullseye，這些問題已在 1.6-2.1+deb11u3 版本中修復。

    我們建議您升級 jq 套件。

    有關 jq 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/jq

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1783339505 公告中提及的多個弱點影響。

  - jq 是一個命令行 JSON 處理器。在之前 1.8.2，將兩個足夠深的巢狀陣列與 == 運算子進行比較會耗盡 jq 普通命令列表面上的 C 堆疊，從而透過堆疊耗盡（不受控制的遞迴）導致拒絕服務。崩潰發生在 jq 的遞歸結構比較程式碼中，在比較深度巢狀陣列時，透過 src/jv.c 中的 jvp_array_equal（） 和 jv_equal（） 重複遞歸;透過 src/jv_aux.c 中 jv_cmp（） 的鄰近排序比較器路徑會以較大的巢狀深度從相同缺少遞迴保護的堆疊溢位。任何在攻擊者控制的深度巢狀 JSON 值上執行 jq 比較，或在不受信任資料可以到達 == 比較路徑的內容中內嵌 jq 的人都會受到影響。此弱點已在 1.8.2 中修正。(CVE-2026-47770)

  - jq 是一個命令行 JSON 處理器。在之前 1.8.2，' jq --rawfile' 可以將已處理的過大字串錯誤轉換為無效狀態重複使用，以及在已停用宣告的組建中將真正的堆積越界寫入。當 jv_load_file（raw=1） 讀取攻擊者控制的檔案時，它會重複將檔案區塊附加至相同的 jv 字串累加器。一旦 jv_string_append_buf（） 傳回 jv_invalid_with_msg（字串太長），原始檔案迴圈就不會停止。如果檔案至少包含一個位元組，則下一個迴圈反覆專案會將新的區塊附加至已經無效的物件。啟用判斷提示後，這會在 jvp_string_ptr（） 中中止。
    停用宣告後，無效物件會解譯為字串物件，而 ASan 會報告堆積緩衝區溢位。此弱點已在 1.8.2 中修正。(CVE-2026-49839)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1782901522 公告中提及的弱點影響。

  - jq 是一個命令行 JSON 處理器。在之前 1.8.2，將兩個足夠深的巢狀陣列與 == 運算子進行比較會耗盡 jq 普通命令列表面上的 C 堆疊，從而透過堆疊耗盡（不受控制的遞迴）導致拒絕服務。崩潰發生在 jq 的遞歸結構比較程式碼中，在比較深度巢狀陣列時，透過 src/jv.c 中的 jvp_array_equal（） 和 jv_equal（） 重複遞歸;透過 src/jv_aux.c 中 jv_cmp（） 的鄰近排序比較器路徑會以較大的巢狀深度從相同缺少遞迴保護的堆疊溢位。任何在攻擊者控制的深度巢狀 JSON 值上執行 jq 比較，或在不受信任資料可以到達 == 比較路徑的內容中內嵌 jq 的人都會受到影響。此弱點已在 1.8.2 中修正。(CVE-2026-47770)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1783339505 公告中提及的多個弱點影響。

  - jq 是一個命令行 JSON 處理器。在之前 1.8.2，將兩個足夠深的巢狀陣列與 == 運算子進行比較會耗盡 jq 普通命令列表面上的 C 堆疊，從而透過堆疊耗盡（不受控制的遞迴）導致拒絕服務。崩潰發生在 jq 的遞歸結構比較程式碼中，在比較深度巢狀陣列時，透過 src/jv.c 中的 jvp_array_equal（） 和 jv_equal（） 重複遞歸;透過 src/jv_aux.c 中 jv_cmp（） 的鄰近排序比較器路徑會以較大的巢狀深度從相同缺少遞迴保護的堆疊溢位。任何在攻擊者控制的深度巢狀 JSON 值上執行 jq 比較，或在不受信任資料可以到達 == 比較路徑的內容中內嵌 jq 的人都會受到影響。此弱點已在 1.8.2 中修正。(CVE-2026-47770)

  - jq 是一個命令行 JSON 處理器。在之前 1.8.2，' jq --rawfile' 可以將已處理的過大字串錯誤轉換為無效狀態重複使用，以及在已停用宣告的組建中將真正的堆積越界寫入。當 jv_load_file（raw=1） 讀取攻擊者控制的檔案時，它會重複將檔案區塊附加至相同的 jv 字串累加器。一旦 jv_string_append_buf（） 傳回 jv_invalid_with_msg（字串太長），原始檔案迴圈就不會停止。如果檔案至少包含一個位元組，則下一個迴圈反覆專案會將新的區塊附加至已經無效的物件。啟用判斷提示後，這會在 jvp_string_ptr（） 中中止。
    停用宣告後，無效物件會解譯為字串物件，而 ASan 會報告堆積緩衝區溢位。此弱點已在 1.8.2 中修正。(CVE-2026-49839)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 jq 版本早於 1.6-17。因此，它會受到 ALAS2-2026-3496 公告中所提及的多個弱點影響。

    jq 是命令行 JSON 處理器。透過 jvp_string_append（） 和 jvp_string_copy_replace_bad 函式中的 version 1.8.1 存在整數溢位弱點，其中串連總長度超過 2^31 位元組的字串會導致緩衝區配置大小計算中出現 32 位元無正負號整數溢位，進而導致堆積緩衝區大小嚴重不足。隨後的記憶體複製操作會將完整的字串資料寫入這個大小不足的緩衝區，導致分類為 CWE-190（整數溢位）的堆積緩衝區溢位，從而導致 CWE-122（堆積型緩衝區溢位）。任何評估不受信任 jq 查詢的系統都會受到影響，因為攻擊者可能會透過製作產生極大字串的查詢，使處理程序當機，或可能透過堆積損毀來實現進一步的利用。根本原因是缺少字串大小邊界檢查，這與已經有大小限制的陣列和物件不同。此問題已在提交 e47e56d226519635768e6aab2f38f0ab037c09e5 中解決。（CVE-2026-32316）

    jq 是命令行 JSON 處理器。在以下版本 1.8.1 中，jq 的 src/jv_aux.c 中的函數 jv_setpath（）、jv_getpath（） 和 delpaths_sorted（） 使用無限遞迴，其深度由調用方提供的路徑陣列的長度控制，沒有強制執行深度限制。攻擊者可以提供包含 ~65,000 個整數 （~200 KB） 的平面陣列的 JSON 文件，當受信任的 jq 篩選器將其用作路徑引數時，會耗盡 C 呼叫堆疊並因分割錯誤 （SIGSEGV） 而使處理程序崩潰。此繞過之所以有效，是因為現有的MAX_PARSING_DEPTH （10,000） 限制只會保護 JSON 剖析器，而無法保護執行階段路徑作業，其中陣列可以透過程式設計方式建構為任意長度。其影響是拒絕服務 （無法復原的損毀），會影響任何透過 jq 的 setpath、getpath 或 delpaths 內建記憶體處理不受信任 JSON 輸入的應用程式或服務。此問題已在提交 fb59f1491058d58bdc3e8dd28f1773d1ac690a1f 中解決。（CVE-2026-33947）

    jq 是命令行 JSON 處理器。6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b 之前的提交包含弱點，其中 CLI 輸入剖析允許透過內嵌 NUL 位元組繞過驗證。從檔案或 stdin 讀取 JSON 時，jq 使用 strlen（） 來確定緩衝區長度，而不是來自 fgets（） 的實際位元組計數，導致它截斷第一個 NUL 位元組的輸入並僅剖析前面的前綴。這可讓攻擊者在 NUL 位元組之前製作具有良性 JSON 前置詞的輸入，後面接著惡意尾端資料，其中 jq 僅將前置詞驗證為有效 JSON，同時默默捨棄後綴。
    依賴 jq 在將不受信任的 JSON 轉送給下游消費者之前驗證不受信任的 JSON 的工作流程容易受到剖析器差異攻擊，因為這些消費者可能會處理包括惡意尾端位元組在內的完整輸入。此問題已透過提交 6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b 修補。
    (CVE-2026-33948)

    jq 是命令行 JSON 處理器。在 69785bf77f86e2ea1b4a20ca86775916889e91c9 之後的提交中，
    jq 的 src/builtin.c 中的_strindices內建直接將其引數傳遞給 jv_string_indexes（），而不驗證它們是否為字串，而 src/jv.c 中的 jv_string_indexes（） 僅依賴 assert（） 檢查，這些檢查在使用 -DNDEBUG 編譯的發行版本中被剝離。這允許攻擊者使用 _strindices（0） 等輸入輕鬆地使 jq 崩潰，並通過製作一個數值，其 IEEE-754 位模式映射到選定的指標，實現受控的指標解除參照和有限的內存讀取/探測原語。任何針對發行版本評估不受信任 jq 篩選器的部署都容易受到攻擊。此問題已在提交 fdf8ef0f0810e3d365cdd5160de43db46f57ed03 中修補。（CVE-2026-39956）

    jq 是命令行 JSON 處理器。在 2f09060afab23fe9390cce7cb860b10416e1bf5f 之前的提交中，libjq 中的 jv_parse_sized（） API 接受具有明確長度參數的計數緩衝區，但其錯誤處理路徑使用 jv_string_fmt（） 中的 %s 格式化輸入緩衝區，該緩衝區會讀取直到找到 NUL 終止符，而不是遵守調用方提供的長度。這表示在非 NUL 終止緩衝區中傳遞格式錯誤的 JSON 時，錯誤建構邏輯會在緩衝區結尾執行越界讀取。任何具有不受信任輸入的 libjq 消費者調用 jv_parse_sized（） 都可存取此弱點，而且視記憶體配置而定，可能會導致記憶體洩漏或處理程序終止。此問題已在提交 2f09060afab23fe9390cce7cb860b10416e1bf5f 中修補。（CVE-2026-39979）

    jq 是命令行 JSON 處理器。在提交 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 之前，jq 將 MurmurHash3 與硬式編碼、公開可見的種子 （0x432A9843） 用於所有 JSON 物件雜湊表作業，這允許攻擊者離線預先計算金鑰衝突。透過提供特製的 JSON 物件 （~100 KB），其中所有金鑰都雜湊到同一個儲存桶中，雜湊表查詢從 O（1） 降級到 O（n），將任何 jq 運算式變成 O（n2） 操作並導致嚴重的 CPU 耗盡。這會影響常見的 jq 使用案例，例如 CI/CD 管道、Web 服務和資料處理指令碼，並且比現有的堆積溢位問題更實用，因為它只需要很小的負載。此問題已在提交 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 中修補。（CVE-2026-40164）

    jq 是命令行 JSON 處理器。在 1.8.1 和之前，jv_object_merge_recursive（） 中的無限遞迴允許精心製作的 jq 程式使用段錯誤使進程崩潰。當兩個運算元都是物件時，可以透過 * 運算子存取此函式。（CVE-2026-43896）

    此弱點是 jv_equal（） 和 jv_cmp（） 中的無限遞迴，在相等檢查 （==、！=） 或比較 （sort、unique、bsearch、min_by、max_by） 期間處理深度巢狀 JSON 結構時，會導致堆疊溢位。（CVE-2026-47770）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - jq 是一個命令行 JSON 處理器。在之前 1.8.2，將兩個足夠深的巢狀陣列與 == 運算子進行比較會耗盡 jq 普通命令列表面上的 C 堆疊，從而透過堆疊耗盡（不受控制的遞迴）導致拒絕服務。崩潰發生在 jq 的遞歸結構比較程式碼中，在比較深度巢狀陣列時，透過 src/jv.c 中的 jvp_array_equal（） 和 jv_equal（） 重複遞歸;透過 src/jv_aux.c 中 jv_cmp（） 的鄰近排序比較器路徑會以較大的巢狀深度從相同缺少遞迴保護的堆疊溢位。任何在攻擊者控制的深度巢狀 JSON 值上執行 jq 比較，或在不受信任資料可以到達 == 比較路徑的內容中內嵌 jq 的人都會受到影響。此弱點已在 1.8.2 中修正。(CVE-2026-47770)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 12 主機已安裝的套件會受到 dla-4662 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4662-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreas Henriksson 2026 年 7 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：jq 版本：1.6-2.1+deb12u2 CVE ID： CVE-2026-32316 CVE-2026-33947 CVE-2026-33948 CVE-2026-39956 CVE-2026-39979 CVE-2026-40164 CVE-2026-41256 CVE-2026-41257 CVE-2026-43894 CVE-2026-43895 CVE-2026-43896 CVE-2026-44777 CVE-2026-47770 CVE-2026-49839 CVE-2026-54679 Debian 錯誤：1133921 1136445

    研究發現，jq 是一個輕量級且靈活的命令列 JSON 剖析器，容易受到多個記憶體損毀攻擊，這可能導致應用程式崩潰、拒絕服務情況，以及在剖析不受信任的輸入時，可能會透過堆積損毀而執行任意程式碼。

    對於 Debian 12 書蟲來說，這些問題已經在 1.6-2.1+deb12u2 版本中得到了修復。

    對於 Debian 11 bullseye，這些問題已在 和 DLA-4661-1中DLA-4599-1解決。

    我們建議您升級 jq 套件。

    有關 jq 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/jq

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
333519	Debian dsa-6416：jq - 安全性更新	Nessus	Debian Local Security Checks	2026/8/8	2026/8/8	high
324574	Debian dla-4661：jq - 安全性更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/15	medium
360862	AlmaLinux 9.6 [TuxCare] 安全性更新：jq / jq-devel 多個弱點（ALMALINUX9.6：CLSA-2026：1783339505）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
361705	AlmaLinux 9.2 [TuxCare] 安全性更新：jq / jq-devel （ALMALINUX9.2：CLSA-2026：1782901522）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
360788	Rocky Linux 9.6 [TuxCare] 安全性更新：jq / jq-devel 多個弱點（ALMALINUX9.6：CLSA-2026：1783339505）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	medium
325564	Amazon Linux 2 ： jq， --advisory ALAS2-2026-3496 （ALAS-2026-3496）	Nessus	Amazon Linux Local Security Checks	2026/7/8	2026/7/15	medium
317295	Linux Distros 未修補弱點：CVE-2026-47770	Nessus	Misc.	2026/5/28	2026/8/7	medium
324575	Debian dla-4662：jq - 安全性更新	Nessus	Debian Local Security Checks	2026/7/1	2026/7/15	high

偵測

搜尋 Plugin

high

medium

medium

medium

medium

medium

medium

high