CVE-2026-32316 in jqlang
Сводка
по VulDB • 30.05.2026
jq — это процессор JSON для командной строки. Уязвимость переполнения целочисленного типа существует в версиях вплоть до 1.8.1 включительно в функциях jvp_string_append() и jvp_string_copy_replace_bad, где конкатенация строк с общей длиной, превышающей 2^31 байт, вызывает переполнение 32-битного беззнакового целого числа при вычислении размера буфера для выделения памяти в куче, что приводит к созданию буфера в куче, размер которого значительно меньше необходимого. Последующие операции копирования памяти записывают полные данные строки в этот буфер недостаточного размера, вызывая переполнение буфера в куче, классифицируемое как CWE-190 (Integer Overflow), ведущее к CWE-122 (Heap-based Buffer Overflow). Затронуты любые системы, оценивающие недоверенные запросы jq, поскольку злоумышленник может вызвать сбой процесса или потенциально достичь дальнейшей эксплуатации через повреждение кучи, создавая запросы, которые генерируют чрезвычайно большие строки. Корневая причина заключается в отсутствии проверки границ размера строки, в отличие от массивов и объектов, которые уже имеют ограничения по размеру. Проблема была устранена в коммите e47e56d226519635768e6aab2f38f0ab037c09e5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.