JVNDB-2026-012114

jqlangのjqにおける再帰制御に関する脆弱性

jqはコマンドラインのJSONプロセッサです。バージョン1.8.1以下では、jqのsrc/jv_aux.cにある関数jv_setpath()、jv_getpath()、およびdelpaths_sorted()が、呼び出し元が提供するパス配列の長さによって制御される深さ無制限の再帰を使用しており、深さの制限が適用されていません。攻撃者は約65,000個の整数（約200KB）の平坦な配列を含むJSONドキュメントを提供でき、これが信頼されたjqフィルタによってパス引数として使用されると、Cのコールスタックを枯渇させ、セグメンテーション違反（SIGSEGV）によりプロセスがクラッシュします。この問題が発生するのは、既存のMAX_PARSING_DEPTH（10,000）制限がJSONパーサのみを保護し、配列がプログラム的に任意の長さに構築可能なランタイムのパス操作は保護されていないためです。影響はサービス拒否（回復不能なクラッシュ）であり、jqのsetpath、getpath、またはdelpathsビルトインを介して信頼できないJSON入力を処理する任意のアプリケーションまたはサービスに影響を及ぼします。この問題はコミットfb59f1491058d58bdc3e8dd28f1773d1ac690a1fで修正されました。

jqlang

• jq 1.8.1 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unbounded Recursion in jv_setpath() / jv_getpath() / delpaths_sorted()  Advisory  jqlang/jq  GitHub

1. 不適切な再帰制御(CWE-674) [その他]

1. CVE-2026-33947

1. National Vulnerability Database (NVD) : CVE-2026-33947
2. 関連文書 : oss-security - Re: 7 vulnerabilities disclosed & patched in jq
3. 関連文書 : Limit path depth to prevent stack overflow  jqlang/jq@fb59f14  GitHub

• [2026年04月23日]
    掲載