CVE-2026-40164

Funkcja jv_dump_term w jq 1.5 umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez przygotowany plik JSON, co prowadzi do zużycia stosu i awarii aplikacji. Problem został naprawiony w jq 1.6_rc1-r0.

Funkcja decNumberCopy w pliku decNumber.c w jq do wersji 1.7.1 nieprawidłowo traktuje wartość NaN jako liczbową, co prowadzi do przepełnienia bufora na stosie i zapisu poza zakresem. Problem można wykorzystać na przykład przez użycie opcji --slurp z operacją odejmowania, taką jak filtr .-. przy odpowiednio spreparowanym wejściu.

Błąd off-by-one w funkcji tokenadd w pliku jv_parse.c w jq umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez długi, zakodowany w JSON numer, co prowadzi do przepełnienia bufora w pamięci heap.

jq to procesor JSON wiersza poleceń. Commity przed 6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b zawierają podatność, w której parsowanie danych wejściowych CLI pozwala na obejście walidacji poprzez osadzone bajty NUL. Podczas czytania JSON z plików lub standardowego wejścia jq używa strlen() do określenia długości bufora zamiast rzeczywistej liczby bajtów z fgets(), co powoduje obcięcie danych wejściowych na pierwszym bajcie NUL i parsowanie tylko poprzedzającego prefiksu. Umożliwia to atakującemu stworzenie danych wejściowych z nieszkodliwym prefiksem JSON przed bajtem NUL, po którym następują złośliwe dane końcowe, gdzie jq waliduje tylko prefiks jako poprawny JSON, jednocześnie po cichu odrzucając sufiks. Przepływy pracy polegające na jq do walidacji niezaufanego JSON przed przekazaniem go do dalszych odbiorców są podatne na ataki różnic parserów, ponieważ ci odbiorcy mogą przetwarzać pełne dane wejściowe, w tym złośliwe końcowe bajty. Problem został załatany commitem 6374ae0bcdfe33a18eb0ae6db28493b1f34a0a5b.

W bibliotece libjq (część narzędzia jq) w funkcji jv_parse_sized() występuje podatność na odczyt poza zakresem bufora. Podczas przetwarzania błędnego JSON-a w buforze niezakończonym znakiem NUL, funkcja formatująca błąd używa %s, które czyta dane aż do napotkania NUL-a, zamiast ograniczyć się do długości podanej przez wywołującego.

jq przed wersją 1.8.2 zawiera podatność w wbudowanej funkcji _strindices, która przekazuje argumenty do jv_string_indexes() bez weryfikacji, czy są one stringami. Funkcja jv_string_indexes() polega wyłącznie na asercjach, które są usuwane w wersjach release kompilowanych z -DNDEBUG. Atakujący może spowodować awarię jq, np. przez _strindices(0), a także uzyskać kontrolowany dereferencję wskaźnika i ograniczony odczyt pamięci.