Intel

CVE-2026-40164

Red Hat Security Advisory: Red Hat AI Inference Server 3.3.5 (ROCm)

highEPSS 0.4 %

Beschreibung

jq ist ein Befehlszeilen-JSON-Prozessor. Vor dem Commit 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 verwendete jq MurmurHash3 mit einem hartcodierten, öffentlich sichtbaren Seed (0x432A9843) für alle JSON-Objekt-Hashtabellenoperationen. Dies ermöglichte es Angreifern, Schlüsselkollisionen offline im Voraus zu berechnen. Durch Bereitstellung eines manipulierten JSON-Objekts (~100 KB), bei dem alle Schlüssel in denselben Bucket gehasht wurden, verschlechterten sich die Hashtabellensuchen von O(1) auf O(n). Dadurch wurde jede jq-Ausdruck zu einer O(n²)-Operation und führte zu erheblicher CPU-Erschöpfung. Dies betraf gängige jq-Anwendungsfälle wie CI/CD-Pipelines, Webdienste und Datenverarbeitungsskripte und war weitaus praktischer auszunutzen als bestehende Heap-Überlaufprobleme, da es nur eine kleine Nutzlast erforderte. Dieses Problem wurde im Commit 0c7d133c3c7e37c00b6d46b658a02244fdd3c784 behoben.

Quelle: REDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFUBUNTU_USNREDHAT_CSAFNVDCVEORGCVELISTV5MSRC

Metriken

Severity
high
Priority-Score
231.73
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
7.5
Quelle: nvd-v3
CVSS v3
7.5
CVSS v4
—
EPSS-Perzentil
29.8 %
Erhöht — CVE ist relevanter als mindestens 10 % der heute bewerteten CVEs.
EPSS-Score
0.4 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-06-25 19:30 UTC
CWE
CWE-328, CWE-407

Weakness-Klassen (CWE)

  • CWE-328Base

    Use of Weak Hash

    The product uses an algorithm that produces a digest (output value) that does not meet security expectations for a hash function that allows an adversary to reasonably determine the original input (preimage attack), find another input that can produce the same hash (2nd preimage attack), or find multiple inputs that evaluate to the same hash (birthday attack).

    cwe.mitre.org →

  • CWE-407Class

    Inefficient Algorithmic Complexity

    An algorithm in a product has an inefficient worst-case computational complexity that may be detrimental to system performance and can be triggered by an attacker, typically using crafted manipulations that ensure that the worst case is being reached.

    cwe.mitre.org →

Betroffene Betriebssysteme

  • linux

    debian / debian_linux11.0

  • linux

    redhat / enterprise_linux10.0

  • linux

    redhat / enterprise_linux6.0

  • linux

    redhat / enterprise_linux7.0

  • linux

    redhat / enterprise_linux8.0

  • linux

    redhat / enterprise_linux9.0

  • linux

    redhat / enterprise_linux_ai3.0

  • linux

    ubuntu / jqbionic

  • linux

    ubuntu / jqfocal

  • linux

    ubuntu / popplerjammy

  • linux

    ubuntu / popplernoble

  • linux

    ubuntu / popplerquesting

  • linux

    ubuntu / popplerresolute

  • other

    siemens / sinec_os

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • bitnami

    python-min3.11.0

  • bitnami

    python-min3.12.0

  • bitnami

    python-min3.13.0

  • bitnami

    python-min3.14.0

  • cryptography.io

    cryptography45.0.0 – 46.0.7

  • encode

    starlette0.8.3 – 1.0.1

  • encode

    starlette1.1.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

  • jqlang

    jq2026-04-12

  • libcap_project

    libcap

  • libsndfile_project

    libsndfile

  • libtiff

    libtiff

  • openbsd

    openssh10.3

  • openexr

    openexr3.1.0 – 3.2.7

  • openexr

    openexr3.3.0 – 3.3.9

  • openexr

    openexr3.4.0 – 3.4.9

  • pyasn1

    pyasn10.6.2

  • pyjwt_project

    pyjwt2.13.0

  • pypi

    vllm0.0.1

  • pypi

    vllm0.1.0

  • pypi

    vllm0.10.0

  • pypi

    vllm0.10.1

  • pypi

    vllm0.10.1.1

  • pypi

    vllm0.10.2

Quellen & Referenzen

Verknüpfte CVEs

IDCVE-2026-40164