CVE-2026-39956 in jqlang
요약
\~에 의해 VulDB • 2026. 06. 24.
jq는 명령줄 기반 JSON 처리기입니다. 69785bf77f86e2ea1b4a20ca86775916889e91c9 이후의 커밋에서, jq의 src/builtin.c에 있는 _strindices 내장 함수는 인수가 문자열인지 검증하지 않고 jv_string_indexes()로 직접 전달합니다. 또한 src/jv.c의 jv_string_indexes()는 -DNDEBUG 옵션으로 컴파일된 릴리스 빌드에서 제거되는 assert() 검사에만 의존합니다. 이를 통해 공격자는 _strindices(0)와 같은 입력을 사용하여 jq를 쉽게 충돌시킬 수 있으며, IEEE-754 비트 패턴이 선택한 포인터로 매핑되도록 숫자 값을 조작하여 제어 가능한 포인터 역참조 및 제한된 메모리 읽기/탐색 원시 연산(primitive)을 달성할 수 있습니다. 릴리스 빌드에서 신뢰할 수 없는 jq 필터를 평가하는 모든 배포 환경은 취약합니다. 이 문제는 fdf8ef0f0810e3d365cdd5160de43db46f57ed03 커밋에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.