jq-els-backport-cve-2025-48060

Backport du correctif amont pour CVE-2025-48060 (dépassement de tampon de tas dans jv_string_empty) vers jq 1.6.

Backport (CVE-2025-48060) – Backport du commit amont c6e0416 (« Correction du dépassement de tampon de tas lors du formatage d'une chaîne vide ») d'une version plus récente de jq vers jq-1.6, en adaptant la représentation interne des chaînes (jv_string_empty), en ajoutant un test de régression (0[implode]), en recompilant et en exécutant la suite de tests avec succès.

Comment appliquer ce correctif

Vous pouvez appliquer ce backport sur la version officielle jq-1.6, soit à partir d'un tarball, soit à partir d'un checkout git.

1) Télécharger et décompresser jq-1.6

curl -LO https://github.com/jqlang/jq/releases/download/jq-1.6/jq-1.6.tar.gz
tar xf jq-1.6.tar.gz
cd jq-1.6

2) Copier le correctif de ce dépôt dans le répertoire source de jq

3) Appliquer le correctif de backport

patch -p1 < 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

4) Régénérer le système de build et compiler jq

autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"

5) Exécuter la suite de tests

make check

Si vous souhaitez l'appliquer à partir d'un checkout git :

1) Cloner le dépôt jq

git clone https://github.com/jqlang/jq.git
cd jq

2) Basculer sur le tag jq-1.6

git checkout jq-1.6

3) Copier le correctif de ce dépôt dans le répertoire source de jq

4) Appliquer le correctif avec git am

git am 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

5) Compiler et exécuter les tests

git submodule update --init
autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"
make check