AlmaLinux 9.2 [TuxCare] 安全更新：jq / jq-devel （ALMALINUX9.2：CLSA-2026：1777322146）

high Nessus 插件 ID 352952

语言：

简介

AlmaLinux 主机缺少一个或多个安全更新。

描述

AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：2026：1777322146公告中提及的漏洞的影响。

- jq 是一个命令行 JSON 处理器。jvp_string_append（）和 jvp_string_copy_replace_bad 函数的版本中 1.8.1 存在整数溢出漏洞，其中组合长度超过 2^31 字节的串联字符串，会在缓冲区分配大小计算中造成 32 位无符号整数溢出，从而导致堆缓冲区严重不足。然后，后续的内存复制操作会将完整字符串数据写入这个较小的缓冲区，造成分类为 CWE-190（整数溢出）和 CWE-122（基于堆的缓冲区溢出）的堆缓冲区溢出。任何评估不受信任的 jq 查询的系统都会受到影响，因为攻击者可通过构建生成极大字符串的查询，使进程崩溃或可能通过堆损坏实现进一步利用。根本原因是缺少字符串大小边界检查，这与已有大小限制的数组和对象不同。此问题已在提交 e47e56d226519635768e6aab2f38f0ab037c09e5 中解决。（CVE-2026-32316）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。