PT-2026-32565 · Jq+3 · Jq+3

Asafmeizner · Publicado 2026-04-13 · Atualizado 2026-05-24 · CVE-2026-40164

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Name of the Vulnerable Software and Affected Versions jq versões anteriores ao commit 0c7d133c3c7e37c00b6d46b658a02244fdd3c784

Description O software utilizava MurmurHash3 com uma semente fixada e publicamente visível (0x432A9843) para todas as operações de tabela hash de objetos JSON. Isso permite que um invasor pré-compute colisões de chaves offline e forneça um objeto JSON manipulado onde todas as chaves resultem no mesmo bucket. Consequentemente, as buscas na tabela hash degradam de O(1) para O(n), transformando expressões jq em operações O(n²) e causando exaustão significativa de CPU. Este problema impacta pipelines de CI/CD, serviços web e scripts de processamento de dados.

Recommendations Atualize para a versão que contém o commit 0c7d133c3c7e37c00b6d46b658a02244fdd3c784.

Correção

DoS

Enumeração de Fraquezas

CWE-407

CWE-328

Identificadores relacionados

ALSA-2026:16252

ALSA-2026:16692

ALSA-2026:16693

ALSA-2026:19151

ALSA-2026:19365

BDU:2026-05546

CVE-2026-40164

ECHO-472E-DB5D-AF63

OESA-2026-1981

OPENSUSE-SU-2026:10850-1

RHSA-2026:19151

RHSA-2026:19365

RHSA-2026:8579

USN-8202-1

USN-8202-2

USN-8202-3

Produtos afetados

Linuxmint

Rocky Linux

Ubuntu

Jq

Referências · 70

• https://github.com/jqlang/jq/commit/0c7d133c3c7e37c00b6d46b658a02244fdd3c784 · Nota
• https://github.com/jqlang/jq/security/advisories/GHSA-wwj8-gxm6-jc29 · Nota
• https://bugs.launchpad.net/ubuntu/+source/jq/+bug/2152052 · Nota
• https://bugzilla.redhat.com/2458084 · Nota
• https://suse.com/security/cve/CVE-2026-43895 · Nota
• https://ubuntu.com/security/notices/USN-8202-2 · Aviso do Fabricante
• https://bugzilla.redhat.com/2458077 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-33948 · Nota de Segurança
• https://access.redhat.com/errata/RHSA-2026:19151 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-40164 · Aviso do Fabricante
• https://osv.dev/vulnerability/ALSA-2026:19365 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-32316 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-8202-3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-33947 · Nota de Segurança
• https://osv.dev/vulnerability/ALSA-2026:16252 · Aviso do Fabricante