There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A vulnerability was determined in jqlang jq up to 1.6. Impacted is the function run_jq_tests of the file
    jq_test.c of the component JSON Parser. Executing manipulation can lead to reachable assertion. The attack
    requires local access. The exploit has been publicly disclosed and may be utilized. Other versions might
    be affected as well. (CVE-2025-9403)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Debian Linux - jq - 在 jqlang jq 中 1.6發現一個弱點，直到 。受影響的是元件 JSON 剖析器之檔案 jq_test.c 的函式run_jq_tests。執行操作可能會導致可實現的判斷提示。攻擊需要本機存取權。該漏洞已被公開披露，可能會被利用。其他版本也可能受到影響。Red Hat Enterprise Linux - jq：jq_test.c 檔案的 run_jq_tests（） 中的宣告失敗 Ubuntu Linux - 在 jqlang jq 中發現弱點，直到 1.6。受影響的是元件 JSON 剖析器之檔案 jq_test.c 的函式run_jq_tests。執行操作可能會導致可實現的判斷提示。攻擊需要本機存取權。該漏洞已被公開披露，可能會被利用。其他版本也可能受到影響。（CVE-2025-9403）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Debian Linux - jq - 在 jqlang jq 及之前 1.6版本中确定一个漏洞。受影响的是组件 JSON 解析器的文件 jq_test.c 的函数run_jq_tests。执行操控可导致可访问的断言。此攻击要求本地访问。该漏洞已被公开披露，可能会被利用。其他版本可能也受到影响。Red Hat Enterprise Linux - jq：文件 jq_test.c 的 run_jq_tests（） 中断言失败 Ubuntu Linux - 在 jqlang jq 及之前 1.6版本中确定漏洞。受影响的是组件 JSON 解析器的文件 jq_test.c 的函数run_jq_tests。执行操控可导致可访问的断言。此攻击要求本地访问。该漏洞已被公开披露，可能会被利用。其他版本可能也受到影响。（CVE-2025-9403）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Debian Linux - jq - 1.6までの jqlang jq で、脆弱性が決定されました。影響を受けるのは、コンポーネント JSON パーサーのファイル jq_test.c の関数run_jq_testsです。操作を実行すると、到達可能なアサーションが発生する可能性があります。この攻撃にはローカルアクセスが必要です。このエクスプロイトは一般に公開されており、悪用される可能性があります。それ以外のバージョンも影響を受ける可能性があります。Red Hat Enterprise Linux - jq:ファイル jq_test.c の run_jq_tests() のアサーション失敗 Ubuntu Linux - 1.6までの jqlang jq で脆弱性が決定されました。影響を受けるのは、コンポーネント JSON パーサーのファイル jq_test.c の関数run_jq_testsです。操作を実行すると、到達可能なアサーションが発生する可能性があります。この攻撃にはローカルアクセスが必要です。このエクスプロイトは一般に公開されており、悪用される可能性があります。それ以外のバージョンも影響を受ける可能性があります。(CVE-2025-9403)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4275-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    修正されたセキュリティ問題:

    - CVE-2015-8863:tokenadd() 関数におけるヒープバッファオーバーフロー(bsc#976992)。
    - CVE-2023-50246:メモリを不適切に処理すると、「decNumberToString」でヒープバッファオーバーフローが発生することがあります(bsc#1218034)。
    - CVE-2023-50268:decNumber を使用するビルドにおけるスタックベースのバッファオーバーフロー(bsc#1218038)。
    - CVE-2024-53427:decNumber.c の decNumberCopy 関数のスタックバッファオーバーフロー(bsc#1238078)。
    - CVE-2025-9403:run_jq_tests() で到達可能なアサーション(bsc#1248600)。
    - CVE-2026-33948:CLI 入力解析により、埋め込まれた NULL バイトを介して検証バイパスが可能になります(bsc#1262043)。
    - CVE-2026-40164:予測可能なハッシュ衝突により、サービス拒否(bsc#1262072)が発生する可能性があります。
    - CVE-2026-40612:jv_contains、深さ制限なしでネスト化された配列/オブジェクトを再帰し、スタックオーバーフロー(bsc#1265060)を引き起こす可能性があります。
    - CVE-2026-41256:組み込み NUL が、-f でロードされた最上位の jq プログラムを切り捨て、意図しないプログラムの実行を引き起こす可能性があります(bsc#1265061)。
    - CVE-2026-41257:「stack_reallocate」での整数オーバーフローにより、メモリ破損および DoS が引き起こされる可能性があります(bsc#1265062)。
    - CVE-2026-43894:「decNumber」の符号付き整数オーバーフローにより、領域外のメモリ書き込みが発生する可能性があります(bsc#1265070)。
    - CVE-2026-43895:インポートパスに埋め込まれた NULL バイトにより、ポリシーバイパスおよび機密情報漏洩が発生する可能性があります(bsc#1265071)。
    - CVE-2026-43896:「jv_object_merge_recursive()」での無限再帰により、C スタックの枯渇とプロセスのクラッシュが引き起こされる可能性があります(bsc#1265075)。
    - CVE-2026-44777:2 つの有効なモジュールがお互いに「インクルード」する場合の、通常のモジュールローダーにおける制御されない再帰が、スタック枯渇とプロセスのクラッシュにつながる可能性があります(bsc#1265076)。
    - CVE-2026-47770:深い構造的等式(bsc#1269221)のスタックオーバーフロー。
    - CVE-2026-49839:「String too long」の後に「--rawfile」の無効な状態を再使用すると、ヒープバッファオーバーフローが発生する可能性があります(bsc#1269220)。
    - CVE-2026-54679:「jvp_string_append」での整数オーバーフローにより、32 ビットシステムでバッファオーバーランが発生することがあります(bsc#1269390)。

    jq の変更:

    バージョン 1.7.1 への更新:

     * デフォルトの背景色を明るい背景により適したものにします。
     * インライン jq スクリプトを--.後に受け渡すことができるようにします
     * jq_init() が失敗した場合に発生する可能性のある初期化されていない値の逆参照を修正します
     * paths/0 と paths/1 を単純化します。
     * 文字列リテラルの U+001F を拒否します。
     * block_bind_library にある未使用の nref アキュムレータを削除します。
     * 大量の未使用の変数、および役に立たない割り当てを削除します。
     * main.c:未使用の EXIT_STATUS_EXACT オプションを削除します。
     * double から int に適切にキャストされた数値をインデックスとして実際に使用します。
     * src/builtin.c:type_error/type_error2 の不要な jv_copy-s を削除します。
     * LLVM 10 UBSAN がキャッチする未定義の動作を削除します。
     * decnum を decimal64 ではなく binary64 (double)に変換します。
     これにより、jqはJSON仕様が示唆しているように動作し、他の言語とよりよくなります。
     * ltrimstr/1 と rtrimstr/1 の無効な入力におけるメモリリークを修正します。
     * setpath/2 に対する失敗した get でのメモリリークを修正します。
     * 「n」で始まるペイロードを持つ nan に対しても、json 解析からの nan を修正します。
     * コメントにキャリッジリターン文字を許可します。
     * man ページにリンクを生成します。
     * C++ の extern C を追加します。
     * 環境変数を使用してオブジェクトキーの色を構成できるようにしますJQ_COLORS。
     * デフォルトの null の色を明るい黒に変更します。
     * NO_COLOR環境変数を尊重し、カラー出力を無効にします。
     * --help 出力を改善しました。すべてのオプションとより良い順序に言及するようになりました。
     * --exit-code/-e オプションを使用する終了コードの複数の問題を修正します。
     * NUL(ゼロバイト)区切り出力用の --raw-output0 を追加します。
     * アサートクラッシュを修正し、 --jsonarg に対して JSON を検証します。
     * 非推奨の --argfile オプションを削除します。
     * 精度を維持するために、10 進数リテラルを使用します。比較演算は精度を尊重しますが、算術演算は切り捨てられる可能性があります。
     * 入力オブジェクトまたは配列の投影を放出するために、新しい内蔵 pick(stream)を追加します。
     * デバッグと同様に動作するが、stderr に書き込む前に入力にフィルターを適用する、新しいビルトインデバッグ(msgs)を追加。
     * 新しいビルトインスキャンを追加します($re; $flags)。文書化されたが実装されていません。
     * 新しい内蔵 abs を追加して絶対値を取得します。これにより、数値のリテラル値が長さとして保持され、ファブが浮動小数点に変換される可能性があります。
     * else-branch がない場合は許可します。スキップすると、else-branch は となります。(ID)。
     * オブジェクトリテラルのキーとして $binding を使用することを許可します。
     * を使用する際に、チェーンされたインデックス間のドットを許可します。['インデックス']
     * チェーン値イテレータに対するドットを許可します。[], .[]?
     * try/catch を修正する必要以上にキャッチします。
     * 一部のビルトインを高速化およびリファクタリングします。また scalars_or_empty/0 を削除します。
     * 今では停止し、次の入力に進むのではなく、すぐに終了halt_error。
     * 以前の変換エラーの後に文字列から数値に変換する問題を修正します。
     * 無効な JSON 出力を引き起こす、一部のプラットフォームで大きな数を表示する問題を修正します。
     * 配列に対して空の割り当てを使用して削除を修正します。
     * より多くの場所でキーワードをバインド名として使用できるようにします。
     * JSON で nan を NaN として使用することを許可。
     * modulemeta でモジュールの関数名を漏洩します。
     * 文字列を NUL で処理するために contains/1 を修正します。
     * stderr/0 を修正して、装飾なしで RAW テキストを出力するようにします。
     * nth/2 を修正し、範囲外のインデックスで空を放出します。
     * アサートせず、代わりに無効な unicode コードポイントを置換するように implode を修正します。
     * 文字列で一致が重複している場合に備えて、indexes/1 と rindex/1 を修正します。
     * sub/3 を修正して、グローバル検索および置換(gsub)操作に関連する問題を解決します。
     * 空の正規表現の一致を修正します。
     * モジュロ演算子のオーバーフロー例外を修正します。
     * 空の文字列を放出するために、文字列の 0(および 1 未満)の乗算を修正。
     * libjq とスレッドの使用時に発生するセグメンテーション違反を修正します。
     * ゼロ除数での除算とリマインダーの一定な折り畳みを修正します。
     * null エラーをスローするための error/0、error/1 を修正します。
     * よりシンプルかつ高速な転置。
     * walk/1 のシンプルで効率的な実装。
     * leaf_paths、recurse_down で非推奨のフィルターを削除します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:0931-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    jq用のこの更新プログラムでは、以下の問題が修正されます。修正されたセキュリティ問題

    - CVE-2025-9403JSON 解析一貫性検証でのテストパッケージアサーションの失敗bsc#1248600。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Tencent Linux installed on the remote TencentOS Server 4 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the TSSA-2025:0759 advisory.

    Package updates are available for TencentOS Server 4 that fix the following vulnerabilities:

    CVE-2025-9403:
    A vulnerability was determined in jqlang jq up to 1.6. Impacted is the function run_jq_tests of the file     jq_test.c of the component JSON Parser. Executing manipulation can lead to reachable assertion. The attack     requires local access. The exploit has been publicly disclosed and may be utilized. Other versions might     be affected as well.

Tenable has extracted the preceding description block directly from the Tencent Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2026:0931-1 advisory.

    This update for jq fixes the following issue:

    - CVE-2025-9403: test suite assertion failure in JSON parsing consistency validation (bsc#1248600).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Debian Linux - jq - A vulnerability was determined in jqlang jq up to 1.6. Impacted is the function     run_jq_tests of the file jq_test.c of the component JSON Parser. Executing manipulation can lead to     reachable assertion. The attack requires local access. The exploit has been publicly disclosed and may be     utilized. Other versions might be affected as well.  Red Hat Enterprise Linux - jq: assertion failure in     run_jq_tests() of the file jq_test.c  Ubuntu Linux - A vulnerability was determined in jqlang jq up to     1.6. Impacted is the function run_jq_tests of the file jq_test.c of the component JSON Parser. Executing     manipulation can lead to reachable assertion. The attack requires local access. The exploit has been     publicly disclosed and may be utilized. Other versions might be affected as well. (CVE-2025-9403)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4275-1 advisory.

    Security issues fixed:

    - CVE-2015-8863: heap buffer overflow in tokenadd() function (bsc#976992).
    - CVE-2023-50246: improper memory handling can lead to a heap buffer overflow in `decNumberToString`     (bsc#1218034).
    - CVE-2023-50268: stack-based buffer overflow in builds using decNumber (bsc#1218038).
    - CVE-2024-53427: stack-buffer-overflow in the decNumberCopy function in decNumber.c (bsc#1238078).
    - CVE-2025-9403: reachable assertion in run_jq_tests() (bsc#1248600).
    - CVE-2026-33948: CLI input parsing allows validation bypass via embedded NUL bytes (bsc#1262043).
    - CVE-2026-40164: predictable hash collisions can lead to a denial of service (bsc#1262072).
    - CVE-2026-40612: jv_contains recurses into nested arrays/objects with no depth limit and can cause a     stack overflow       (bsc#1265060).
    - CVE-2026-41256: embedded NUL truncates top-level jq programs loaded with -f and can lead to execution of     unintended       programs (bsc#1265061).
    - CVE-2026-41257: integer overflow in `stack_reallocate` can lead to memory corruption and DoS     (bsc#1265062).
    - CVE-2026-43894: signed integer overflow in `decNumber` can lead to out-of-bounds memory write     (bsc#1265070).
    - CVE-2026-43895: embedded NUL bytes in import paths can lead to policy bypass and sensitive information     disclosure       (bsc#1265071).
    - CVE-2026-43896: unbounded recursion in `jv_object_merge_recursive()` can lead to C stack exhaustion and     a process       crash (bsc#1265075).
    - CVE-2026-44777: uncontrolled recursion in ordinary module loader when two valid modules `include` each     other can lead       to stack exhaustion and process crash (bsc#1265076).
    - CVE-2026-47770: stack overflow in deep structural equality (bsc#1269221).
    - CVE-2026-49839: `--rawfile` invalid-state reuse after `String too long` can lead to a heap buffer     overflow       (bsc#1269220).
    - CVE-2026-54679: integer overflow in `jvp_string_append` can lead to a buffer overrun on 32-bit systems     (bsc#1269390).

    Changes for jq:

    Update to version 1.7.1:

     * Make the default background color more suitable for bright      backgrounds.
     * Allow passing the inline jq script after --.
     * Fix possible uninitialised value dereference if jq_init() fails
     * Simplify paths/0 and paths/1.
     * Reject U+001F in string literals.
     * Remove unused nref accumulator in block_bind_library.
     * Remove a bunch of unused variables, and useless assignments.
     * main.c: Remove unused EXIT_STATUS_EXACT option.
     * Actually use the number correctly casted from double to int as      index.
     * src/builtin.c: remove unnecessary jv_copy-s in      type_error/type_error2.
     * Remove undefined behavior caught by LLVM 10 UBSAN.
     * Convert decnum to binary64 (double) instead of decimal64.
     This makes jq behave like the JSON specification suggests and      more similar to other languages.
     * Fix memory leaks on invalid input for ltrimstr/1 and      rtrimstr/1.
     * Fix memory leak on failed get for setpath/2.
     * Fix nan from json parsing also for nans with payload that      start with 'n'.
     * Allow carriage return characters in comments.
     * Generate links in the man page.
     * Add extern C for C++.
     * Make object key color configurable using JQ_COLORS environment      variable.
     * Change the default color of null to Bright Black.
     * Respect NO_COLOR environment variable to disable color output.
     * Improved --help output. Now mentions all options and nicer      order.
     * Fix multiple issues of exit code using --exit-code/-e option.
     * Add --raw-output0 for NUL (zero byte) separated output.
     * Fix assert crash and validate JSON for --jsonarg.
     * Remove deprecated --argfile option.
     * Use decimal number literals to preserve precision. Comparison      operations respects precision but arithmetic operations might      truncate.
     * Adds new builtin pick(stream) to emit a projection of the      input object or array.
     * Adds new builtin debug(msgs) that works like debug but applies      a filter on the input before writing to stderr.
     * Adds new builtin scan($re; $flags). Was documented but not      implemented.
     * Adds new builtin abs to get absolute value. This potentially      allows the literal value of numbers to be preserved as length      and fabs convert to float.
     * Allow if without else-branch. When skipped the else-branch      will be . (identity).
     * Allow use of $binding as key in object literals.
     * Allow dot between chained indexes when using .['index']
     * Allow dot for chained value iterator .[], .[]?
     * Fix try/catch catches more than it should.
     * Speed up and refactor some builtins, also remove      scalars_or_empty/0.
     * Now halt and halt_error exit immediately instead of continuing      to the next input.
     * Fix issue converting string to number after previous convert      error.
     * Fix issue representing large numbers on some platforms causing      invalid JSON output.
     * Fix deletion using assigning empty against arrays.
     * Allow keywords to be used as binding name in more places.
     * Allow using nan as NaN in JSON.
     * Expose a module's function names in modulemeta.
     * Fix contains/1 to handle strings with NUL.
     * Fix stderr/0 to output raw text without any decoration.
     * Fix nth/2 to emit empty on index out of range.
     * Fix implode to not assert and instead replace invalid unicode      codepoints.
     * Fix indices/1 and rindex/1 in case of overlapping matches in      strings.
     * Fix sub/3 to resolve issues involving global search-and-replace      (gsub) operations.
     * Fix empty regular expression matches.
     * Fix overflow exception of the modulo operator.
     * Fix string multiplication by 0 (and less than 1) to emit empty      string.
     * Fix segfault when using libjq and threads.
     * Fix constant folding of division and reminder with zero      divisor.
     * Fix error/0, error/1 to throw null error.
     * Simpler and faster transpose.
     * Simple and efficient implementation of walk/1.
     * Remove deprecated filters leaf_paths, recurse_down.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
465175	Echo: jq: security update to 1.7.1-6+deb13u1+e1	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
465175	Echo: jq: security update to 1.7.1-6+deb13u1+e1	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
260410	Linux Distros 未修補弱點：CVE-2025-9403	Nessus	Misc.	2025/9/2	2026/9/25	medium
260410	Linux Distros 未修补的漏洞：CVE-2025-9403	Nessus	Misc.	2025/9/2	2026/9/25	medium
260410	Linux Distros のパッチ未適用の脆弱性: CVE-2025-9403	Nessus	Misc.	2025/9/2	2026/9/25	medium
348728	SUSE SLED15 / SLES15 セキュリティ更新:jq(SUSE-SU-2026:4275-1)	Nessus	SuSE Local Security Checks	2026/9/22	2026/9/27	high
303145	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: jq (SUSE-SU-2026:0931-1)	Nessus	SuSE Local Security Checks	2026/3/20	2026/3/23	medium
271105	TencentOS Server 4: jq (TSSA-2025:0759)	Nessus	Tencent Local Security Checks	2025/10/22	2025/11/14	high
303145	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : jq (SUSE-SU-2026:0931-1)	Nessus	SuSE Local Security Checks	2026/3/20	2026/3/23	medium
260410	Linux Distros Unpatched Vulnerability : CVE-2025-9403	Nessus	Misc.	2025/9/2	2026/9/25	medium
348728	SUSE SLED15 / SLES15 Security Update : jq (SUSE-SU-2026:4275-1)	Nessus	SuSE Local Security Checks	2026/9/22	2026/9/27	high

检测

插件搜索

medium

medium

medium

medium

medium

high

medium

high

medium

medium

high