Intel

CVE-2026-39979

Red Hat Security Advisory: Red Hat AI Inference Server 3.3.5 (ROCm)

mediumEPSS 0.6 %

Beschreibung

jq ist ein Befehlszeilen-JSON-Prozessor. In Commits vor 2f09060afab23fe9390cce7cb860b10416e1bf5f akzeptiert die API jv_parse_sized() in libjq einen gezählten Puffer mit einem expliziten Längenparameter, aber ihr Fehlerbehandlungspfad formatiert den Eingabepuffer unter Verwendung von %s in jv_string_fmt(), das bis zu einem NUL-Terminator gelesen wird, anstatt die vom Aufrufer bereitgestellte Länge zu respektieren. Dies bedeutet, dass bei der Übermittlung eines fehlerhaften JSON-Datenstroms in einen nicht-NUL-terminierten Puffer die Fehlerkonstruktionslogik eine Out-of-Bounds-Leseoperation durchführt, die über das Ende des Puffers hinausgeht. Die Schwachstelle ist für jeden libjq-Konsumenten erreichbar, der jv_parse_sized() mit nicht vertrauenswürdigen Eingaben aufruft, und je nach Speicherlayout kann dies zu einer Offenlegung von Speicher oder zum Abbruch des Prozesses führen. Das Problem wurde im Commit 2f09060afab23fe9390cce7cb860b10416e1bf5f behoben.

Quelle: REDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFUBUNTU_USNREDHAT_CSAFNVDCVELISTV5CVEORGMSRC

Metriken

Severity
medium
Priority-Score
231.73
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
6.9
Quelle: nvd-v4
CVSS v3
6.5
CVSS v4
6.9
EPSS-Perzentil
44.7 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.6 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-06-25 19:30 UTC
CWE
CWE-125

Weakness-Klassen (CWE)

  • CWE-125Base

    Out-of-bounds Read

    The product reads data past the end, or before the beginning, of the intended buffer.

    cwe.mitre.org →

Betroffene Betriebssysteme

  • linux

    debian / debian_linux11.0

  • linux

    redhat / enterprise_linux10.0

  • linux

    redhat / enterprise_linux6.0

  • linux

    redhat / enterprise_linux7.0

  • linux

    redhat / enterprise_linux8.0

  • linux

    redhat / enterprise_linux9.0

  • linux

    redhat / enterprise_linux_ai3.0

  • linux

    ubuntu / jqbionic

  • linux

    ubuntu / jqfocal

  • linux

    ubuntu / popplerjammy

  • linux

    ubuntu / popplernoble

  • linux

    ubuntu / popplerquesting

  • linux

    ubuntu / popplerresolute

  • other

    siemens / sinec_os

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • bitnami

    python-min3.11.0

  • bitnami

    python-min3.12.0

  • bitnami

    python-min3.13.0

  • bitnami

    python-min3.14.0

  • cryptography.io

    cryptography45.0.0 – 46.0.7

  • encode

    starlette0.8.3 – 1.0.1

  • encode

    starlette1.1.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

  • jqlang

    jq2026-04-12

  • libcap_project

    libcap

  • libsndfile_project

    libsndfile

  • libtiff

    libtiff

  • openbsd

    openssh10.3

  • openexr

    openexr3.1.0 – 3.2.7

  • openexr

    openexr3.3.0 – 3.3.9

  • openexr

    openexr3.4.0 – 3.4.9

  • pyasn1

    pyasn10.6.2

  • pyjwt_project

    pyjwt2.13.0

  • pypi

    vllm0.0.1

  • pypi

    vllm0.1.0

  • pypi

    vllm0.10.0

  • pypi

    vllm0.10.1

  • pypi

    vllm0.10.1.1

  • pypi

    vllm0.10.2

Quellen & Referenzen

Verknüpfte CVEs

IDCVE-2026-39979