jq-els-backport-cve-2025-48060

Backport da correção upstream para CVE-2025-48060 (estouro de buffer no heap em jv_string_empty) para o jq 1.6.

Backport (CVE-2025-48060) – Backport do commit upstream c6e0416 (“Corrige estouro de buffer no heap ao formatar uma string vazia”) de uma versão mais recente do jq para o jq-1.6, adaptando a representação interna de strings (jv_string_empty), adicionando um teste de regressão (0[implode]), recompilando e executando a suíte de testes com sucesso.

Como aplicar este patch

Você pode aplicar este backport sobre a versão oficial jq-1.6, a partir de um tarball ou de um checkout git.

1) Baixe e descompacte o jq-1.6

curl -LO https://github.com/jqlang/jq/releases/download/jq-1.6/jq-1.6.tar.gz
tar xf jq-1.6.tar.gz
cd jq-1.6

2) Copie o patch deste repositório para o diretório de origem do jq

3) Aplique o patch de backport

patch -p1 < 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

4) Regere o sistema de build e compile o jq

autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"

5) Execute a suíte de testes

make check

Caso queira aplicá-lo a partir de um checkout git:

1) Clone o repositório do jq

git clone https://github.com/jqlang/jq.git
cd jq

2) Mude para a tag jq-1.6

git checkout jq-1.6

3) Copie o patch deste repositório para o diretório de origem do jq

4) Aplique o patch com git am

git am 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

5) Compile e execute os testes

git submodule update --init
autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"
make check