jq-els-backport-cve-2025-48060

CVE-2025-48060 の上流修正（jv_string_empty のヒープバッファオーバーフロー）を jq 1.6 にバックポートしました。

バックポート（CVE-2025-48060） – 新しいバージョンの jq から上流コミット c6e0416（「Fix heap buffer overflow when formatting an empty string」）を jq-1.6 にバックポートし、内部の文字列表現（jv_string_empty）を適合させ、リグレッションテスト（0[implode]）を追加し、再ビルドしてテストスイートを正常に実行しました。

このパッチの適用方法

このバックポートは、公式の jq-1.6 リリースの上に、tarball または git checkout のどちらからでも適用できます。

1) jq-1.6 をダウンロードして展開する

curl -LO https://github.com/jqlang/jq/releases/download/jq-1.6/jq-1.6.tar.gz
tar xf jq-1.6.tar.gz
cd jq-1.6

2) このリポジトリのパッチを jq ソースディレクトリにコピーする

3) バックポートパッチを適用する

patch -p1 < 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

4) ビルドシステムを再生成して jq をビルドする

autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"

5) テストスイートを実行する

make check

git checkout から適用したい場合：

1) jq リポジトリをクローンする

git clone https://github.com/jqlang/jq.git
cd jq

2) jq 1.6 タグに切り替える

git checkout jq-1.6

3) このリポジトリのパッチを jq ソースディレクトリにコピーする

4) git am でパッチを適用する

git am 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

5) コンパイルしてテストを実行する

git submodule update --init
autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"
make check