<pre style='margin:0'>
Ryan Schmidt (ryandesign) pushed a commit to branch master
in repository macports-ports.

</pre>
<p><a href="https://github.com/macports/macports-ports/commit/c933783ff49119298fd8727303b481d42fd0dca0">https://github.com/macports/macports-ports/commit/c933783ff49119298fd8727303b481d42fd0dca0</a></p>
<pre style="white-space: pre; background: #F8F8F8"><span style='display:block; white-space:pre;color:#808000;'>commit c933783ff49119298fd8727303b481d42fd0dca0
</span>Author: Ryan Schmidt <ryandesign@macports.org>
AuthorDate: Fri Aug 19 00:23:03 2022 -0500

<span style='display:block; white-space:pre;color:#404040;'>    xz: Update to 5.2.6
</span>---
 archivers/xz/Portfile                         | 21 +++---
 archivers/xz/files/xzgrep-ZDI-CAN-16587.patch | 94 ---------------------------
 2 files changed, 9 insertions(+), 106 deletions(-)

<span style='display:block; white-space:pre;color:#808080;'>diff --git a/archivers/xz/Portfile b/archivers/xz/Portfile
</span><span style='display:block; white-space:pre;color:#808080;'>index 7fbe0f3dc3a..efa40845c20 100644
</span><span style='display:block; white-space:pre;background:#e0e0ff;'>--- a/archivers/xz/Portfile
</span><span style='display:block; white-space:pre;background:#e0e0ff;'>+++ b/archivers/xz/Portfile
</span><span style='display:block; white-space:pre;background:#e0e0e0;'>@@ -4,15 +4,14 @@ PortSystem      1.0
</span> PortGroup       clang_dependency 1.0
 
 name            xz
<span style='display:block; white-space:pre;background:#ffe0e0;'>-version         5.2.5
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-checksums       rmd160  e8c9343d2a1d4aafda92f0b2d94962f16b46688d \
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-                sha256  5117f930900b341493827d63aa910ff5e011e0b994197c3b71c08a20228a42df \
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-                size    1473322
</span><span style='display:block; white-space:pre;background:#e0ffe0;'>+version         5.2.6
</span><span style='display:block; white-space:pre;background:#e0ffe0;'>+checksums       rmd160  b4d6db05185c7b190f570e4de85febdd23735b97 \
</span><span style='display:block; white-space:pre;background:#e0ffe0;'>+                sha256  13e3402e301b6018f6a71ef0e497f714c6d11e214ae82dab156b81c2a64acb25 \
</span><span style='display:block; white-space:pre;background:#e0ffe0;'>+                size    1658182
</span> 
 categories      archivers
 # some executables are GPL, libs and everything else are public domain
 license         {public-domain GPL-2+}
<span style='display:block; white-space:pre;background:#ffe0e0;'>-platforms       darwin
</span> maintainers     {ryandesign @ryandesign} openmaintainer
 
 description     XZ Utils
<span style='display:block; white-space:pre;background:#e0e0e0;'>@@ -27,7 +26,7 @@ master_sites    sourceforge:project/lzmautils
</span> use_bzip2       yes
 
 if {${subport} eq ${name}} {
<span style='display:block; white-space:pre;background:#ffe0e0;'>-    revision    1
</span><span style='display:block; white-space:pre;background:#e0ffe0;'>+    revision    0
</span> 
     depends_build-append \
                 port:gettext
<span style='display:block; white-space:pre;background:#e0e0e0;'>@@ -41,7 +40,7 @@ if {${subport} eq ${name}} {
</span> 
 # This port is used by clang-3.4 to bootstrap libcxx
 subport ${name}-bootstrap {
<span style='display:block; white-space:pre;background:#ffe0e0;'>-    revision                3
</span><span style='display:block; white-space:pre;background:#e0ffe0;'>+    revision                0
</span> 
     # Avoid macports-clang dep (doesn't use C++ anyway)
     configure.cxx_stdlib
<span style='display:block; white-space:pre;background:#e0e0e0;'>@@ -87,15 +86,13 @@ if {${os.platform} eq "darwin" && ${os.major} < 11 && ${cxx_stdlib} eq "libc++"}
</span>     clang_dependency.extra_versions 3.7
 }
 
<span style='display:block; white-space:pre;background:#ffe0e0;'>-# xzgrep-ZDI-CAN-16587.patch fixes a serious security vulnerability.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-# It should be fixed in the next major release
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-# Patch derived from: https://tukaani.org/xz/xzgrep-ZDI-CAN-16587.patch
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-# but the paths were slightly edited so the patch would apply cleanly
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-patchfiles      c89.patch xzgrep-ZDI-CAN-16587.patch
</span><span style='display:block; white-space:pre;background:#e0ffe0;'>+patchfiles      c89.patch
</span> 
 # the internal "check.h" header conflicts with port check's <check.h>
 configure.cppflags -I${worksrcpath}/src/liblzma/check -I${prefix}/include
 
<span style='display:block; white-space:pre;background:#e0ffe0;'>+configure.checks.implicit_function_declaration.whitelist-append strchr
</span><span style='display:block; white-space:pre;background:#e0ffe0;'>+
</span> livecheck.url   ${homepage}
 livecheck.regex xz-(\[0-9.a-z\]*)${extract.suffix}
 livecheck.type  regexm
<span style='display:block; white-space:pre;color:#808080;'>diff --git a/archivers/xz/files/xzgrep-ZDI-CAN-16587.patch b/archivers/xz/files/xzgrep-ZDI-CAN-16587.patch
</span>deleted file mode 100644
<span style='display:block; white-space:pre;color:#808080;'>index 26899247548..00000000000
</span><span style='display:block; white-space:pre;background:#e0e0ff;'>--- a/archivers/xz/files/xzgrep-ZDI-CAN-16587.patch
</span><span style='display:block; white-space:pre;background:#e0e0ff;'>+++ /dev/null
</span><span style='display:block; white-space:pre;background:#e0e0e0;'>@@ -1,94 +0,0 @@
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-From 69d1b3fc29677af8ade8dc15dba83f0589cb63d6 Mon Sep 17 00:00:00 2001
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-From: Lasse Collin <lasse.collin@tukaani.org>
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-Date: Tue, 29 Mar 2022 19:19:12 +0300
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-Subject: [PATCH] xzgrep: Fix escaping of malicious filenames (ZDI-CAN-16587).
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-Malicious filenames can make xzgrep to write to arbitrary files
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-or (with a GNU sed extension) lead to arbitrary code execution.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-xzgrep from XZ Utils versions up to and including 5.2.5 are
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-affected. 5.3.1alpha and 5.3.2alpha are affected as well.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-This patch works for all of them.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-This bug was inherited from gzip's zgrep. gzip 1.12 includes
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-a fix for zgrep.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-The issue with the old sed script is that with multiple newlines,
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-the N-command will read the second line of input, then the
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-s-commands will be skipped because it's not the end of the
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-file yet, then a new sed cycle starts and the pattern space
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-is printed and emptied. So only the last line or two get escaped.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-One way to fix this would be to read all lines into the pattern
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-space first. However, the included fix is even simpler: All lines
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-except the last line get a backslash appended at the end. To ensure
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-that shell command substitution doesn't eat a possible trailing
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-newline, a colon is appended to the filename before escaping.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-The colon is later used to separate the filename from the grep
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-output so it is fine to add it here instead of a few lines later.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-The old code also wasn't POSIX compliant as it used \n in the
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-replacement section of the s-command. Using \<newline> is the
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-POSIX compatible method.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-LC_ALL=C was added to the two critical sed commands. POSIX sed
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-manual recommends it when using sed to manipulate pathnames
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-because in other locales invalid multibyte sequences might
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-cause issues with some sed implementations. In case of GNU sed,
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-these particular sed scripts wouldn't have such problems but some
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-other scripts could have, see:
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-    info '(sed)Locale Considerations'
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-This vulnerability was discovered by:
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-cleemy desu wayo working with Trend Micro Zero Day Initiative
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-Thanks to Jim Meyering and Paul Eggert discussing the different
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-ways to fix this and for coordinating the patch release schedule
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-with gzip.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>----
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>- src/scripts/xzgrep.in | 20 ++++++++++++--------
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>- 1 file changed, 12 insertions(+), 8 deletions(-)
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-diff --git a/src/scripts/xzgrep.in b/src/scripts/xzgrep.in
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-index b180936..e5186ba 100644
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>---- src/scripts/xzgrep.in
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+++ src/scripts/xzgrep.in
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-@@ -180,22 +180,26 @@ for i; do
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-          { test $# -eq 1 || test $no_filename -eq 1; }; then
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-       eval "$grep"
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-     else
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+      # Append a colon so that the last character will never be a newline
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+      # which would otherwise get lost in shell command substitution.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+      i="$i:"
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+      # Escape & \ | and newlines only if such characters are present
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+      # (speed optimization).
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-       case $i in
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-       (*'
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>- '* | *'&'* | *'\'* | *'|'*)
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>--        i=$(printf '%s\n' "$i" |
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>--            sed '
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>--              $!N
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>--              $s/[&\|]/\\&/g
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>--              $s/\n/\\n/g
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>--            ');;
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+        i=$(printf '%s\n' "$i" | LC_ALL=C sed 's/[&\|]/\\&/g; $!s/$/\\/');;
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-       esac
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>--      sed_script="s|^|$i:|"
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+      # $i already ends with a colon so don't add it here.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+      sed_script="s|^|$i|"
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>- 
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-       # Fail if grep or sed fails.
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-       r=$(
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-         exec 4>&1
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>--        (eval "$grep" 4>&-; echo $? >&4) 3>&- | sed "$sed_script" >&3 4>&-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+        (eval "$grep" 4>&-; echo $? >&4) 3>&- |
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-+            LC_ALL=C sed "$sed_script" >&3 4>&-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-       ) || r=2
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-       exit $r
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-     fi >&3 5>&-
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>--- 
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-2.35.1
</span><span style='display:block; white-space:pre;background:#ffe0e0;'>-
</span></pre><pre style='margin:0'>

</pre>