JVNDB-2026-021323

jqlangのjqにおける再帰制御に関する脆弱性

jqはコマンドラインのJSONプロセッサです。バージョン1.8.2以前では、十分に深くネストされた2つの配列を==演算子で比較すると、jqの通常のコマンドライン操作中にCスタックが枯渇し、制御されていない再帰によるスタック枯渇でサービス拒否が発生します。クラッシュはjqの再帰的な構造比較コードで発生し、深くネストされた配列を比較する際にsrc/jv.cのjvp_array_equal()およびjv_equal()を通じて再帰が繰り返されます。また、再帰ガードが欠如しているため、src/jv_aux.cのjv_cmp()を経由する近接したソート比較パスでも、より深いネストの深度でスタックオーバーフローが発生します。攻撃者が制御する深くネストされたJSON値に対してjqで比較を実行する場合、または信頼できないデータが==比較パスに到達可能な環境にjqを埋め込んでいる場合、本脆弱性の影響を受けます。この脆弱性はバージョン1.8.2で修正されました。

jqlang

• jq 1.8.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : stack overflow in deep structural equality  Advisory  jqlang/jq  GitHub

1. 不適切な再帰制御(CWE-674) [その他]

1. CVE-2026-47770

1. National Vulnerability Database (NVD) : CVE-2026-47770

• [2026年06月29日]
    掲載