jq-els-backport-cve-2025-48060

Backport della correzione upstream per CVE-2025-48060 (heap buffer overflow in jv_string_empty) a jq 1.6.

Backport (CVE-2025-48060) – Backport del commit upstream c6e0416 (“Fix heap buffer overflow when formatting an empty string”) da una versione più recente di jq a jq-1.6, adattando la rappresentazione interna delle stringhe (jv_string_empty), aggiungendo un test di regressione (0[implode]), ricompilando ed eseguendo con successo la suite di test.

Come applicare questa patch

Puoi applicare questo backport sulla versione ufficiale jq-1.6, sia da un tarball che da un checkout git.

1) Scarica ed estrai jq-1.6

curl -LO https://github.com/jqlang/jq/releases/download/jq-1.6/jq-1.6.tar.gz
tar xf jq-1.6.tar.gz
cd jq-1.6

2) Copia la patch da questo repository nella directory dei sorgenti di jq

3) Applica la patch di backport

patch -p1 < 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

4) Rigenera il sistema di build e compila jq

autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"

5) Esegui la suite di test

make check

Se invece vuoi applicarla da un checkout git:

1) Clona il repository jq

git clone https://github.com/jqlang/jq.git
cd jq

2) Passa al tag jq-1.6

git checkout jq-1.6

3) Copia la patch da questo repository nella directory dei sorgenti di jq

4) Applica la patch con git am

git am 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

5) Compila ed esegui i test

git submodule update --init
autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"
make check