jq-els-backport-cve-2025-48060

Перенесено исправление от разработчиков для CVE-2025-48060 (переполнение кучи в jv_string_empty) в jq 1.6.

Бэкпорт (CVE-2025-48060) – Перенесён коммит c6e0416 из основного репозитория («Исправление переполнения кучи при форматировании пустой строки») из более новой версии jq в jq-1.6, с адаптацией внутреннего представления строк (jv_string_empty), добавлением регрессионного теста (0[implode]), успешной пересборкой и прогоном тестов.

Как применить этот патч

Вы можете применить этот бэкпорт поверх официального релиза jq-1.6 либо из тарбола, либо из git-чекаута.

1) Скачайте и распакуйте jq-1.6

curl -LO https://github.com/jqlang/jq/releases/download/jq-1.6/jq-1.6.tar.gz
tar xf jq-1.6.tar.gz
cd jq-1.6

2) Скопируйте патч из этого репозитория в каталог исходного кода jq

3) Примените патч бэкпорта

patch -p1 < 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

4) Перегенерируйте систему сборки и соберите jq

autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"

5) Запустите набор тестов

make check

Если вы хотите применить его из git-чекаута:

1) Клонируйте репозиторий jq

git clone https://github.com/jqlang/jq.git
cd jq

2) Переключитесь на тег jq-1.6

git checkout jq-1.6

3) Скопируйте патч из этого репозитория в каталог исходного кода jq

4) Примените патч с помощью git am

git am 0001-Fix-heap-buffer-overflow-when-formatting-an-empty-st.patch

5) Скомпилируйте и запустите тесты

git submodule update --init
autoreconf -i
./configure --with-oniguruma=builtin
make -j"$(nproc)"
make check