jq-els-backport-cve-2025-48060

Backport de la corrección upstream para CVE-2025-48060 (desbordamiento de búfer de heap en jv_string_empty) a jq 1.6.

Backport (CVE-2025-48060) – Backport del commit upstream c6e0416 (“Corrección de desbordamiento de búfer de heap al formatear una cadena vacía”) desde una versión más reciente de jq a jq-1.6, adaptando la representación interna de cadenas (jv_string_empty), agregando una prueba de regresión (0[implode]), reconstruyendo y ejecutando la suite de pruebas con éxito.

Cómo aplicar este parche

Puedes aplicar este backport sobre la versión oficial jq-1.6 ya sea desde un tarball o desde un clon de git.

1) Descargar y descomprimir jq-1.6

curl -LO https://github.com/jqlang/jq/releases/download/jq-1.6/jq-1.6.tar.gz
tar xf jq-1.6.tar.gz
cd jq-1.6

2) Copiar el parche de este repositorio al directorio fuente de jq

3) Aplicar el parche de backport

patch -p1 < 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

4) Regenerar el sistema de compilación y compilar jq

autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"

5) Ejecutar la suite de pruebas

make check

En caso de que quieras aplicarlo desde un clon de git:

1) Clonar el repositorio de jq

git clone https://github.com/jqlang/jq.git
cd jq

2) Cambiar a la etiqueta jq-1.6

git checkout jq-1.6

3) Copiar el parche de este repositorio al directorio fuente de jq

4) Aplicar el parche con git am

git am 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

5) Compilar y ejecutar las pruebas

git submodule update --init
autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"
make check