CVE-2026-32316 in jqlang
요약
\~에 의해 VulDB • 2026. 06. 07.
jq는 명령줄 기반 JSON 처리기입니다. 버전 1.8.1 이전의 jq에는 `jvp_string_append()` 및 `jvp_string_copy_replace_bad` 함수 내에서 정수 오버플로우 취약점이 존재합니다. 결합된 길이가 2^31 바이트를 초과하는 문자열을 연결할 때 버퍼 할당 크기 계산 과정에서 32비트 부호 없는 정수 오버플로우가 발생하여, 결과적으로 매우 작은 크기의 힙 버퍼가 생성됩니다. 이후 메모리 복사 작업은 전체 문자열 데이터를 이 undersized(과소하게 할당된) 버퍼에 작성하므로, CWE-190(정수 오버플로우)으로 인해 발생하는 CWE-122(힙 기반 버퍼 오버플로우)로 분류되는 힙 버퍼 오버플로우가 발생합니다. 신뢰할 수 없는 jq 쿼리를 평가하는 모든 시스템이 영향을 받으며, 공격자는 극도로 큰 문자열을 생성하는 쿼리를 조작하여 프로세스를 충돌시키거나 힙 손상(corruption)을 통해 추가적인 악용(exploitation)을 달성할 수 있습니다. 근본 원인은 배열과 객체는 이미 크기 제한이 있는 반면, 문자열의 크기 경계 검사(size bounds checking)가 부재하기 때문입니다. 이 문제는 커밋 e47e56d226519635768e6aab2f38f0ab037c09e5에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.