CVE-2026-40164 in jqlang
Resumen
por VulDB • 2026-05-25
jq es un procesador de JSON de línea de comandos. Antes del commit 0c7d133c3c7e37c00b6d46b658a02244fdd3c784, jq utilizaba MurmurHash3 con una semilla codificada y públicamente visible (0x432A9843) para todas las operaciones de tabla hash de objetos JSON, lo que permitía a un atacante precalcular colisiones de claves fuera de línea. Al proporcionar un objeto JSON manipulado (~100 KB) donde todas las claves tenían como resultado el mismo bucket, las búsquedas en la tabla hash se degradaron de O(1) a O(n), convirtiendo cualquier expresión jq en una operación O(n²) y causando un agotamiento significativo de la CPU. Esto afectó casos de uso comunes de jq, como pipelines de CI/CD, servicios web y scripts de procesamiento de datos, y fue mucho más práctico de explotar que las vulnerabilidades existentes de desbordamiento de heap, ya que solo requería una pequeña carga útil. Este problema ha sido corregido en el commit 0c7d133c3c7e37c00b6d46b658a02244fdd3c784.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.