SQLite FTS5 पूर्णांक-ओवरफ्लो (CVE-2025-7709) — अब एम्बेडेड SQLite को अपडेट करें

सुरक्षाडेटाबेसडेवऑप्स

मुख्य अपडेट

SQLite के FTS5 एक्सटेंशन में एक पूर्णांक-ओवरफ्लो बग (CVE-2025-7709) एक 64-बिट आकार को 32 बिट्स में संकुचित कर सकता है जब एक टॉम्बस्टोन पॉइंटर एरे आवंटित किया जाता है, जिससे आउट-ऑफ-बाउंड्स लेखन सक्षम होता है यदि एक हमलावर एक तैयार FTS5 तालिका प्रदान कर सकता है या हमलावर-नियंत्रित क्वेरीज़ निष्पादित कर सकता है। अपस्ट्रीम ने बग को ठीक किया (जुलाई 2025 में पैच किया गया और पैच किए गए रिलीज़ में शामिल किया गया), और रखरखाव करने वालों ने वितरण अपडेट जारी करना शुरू कर दिया है; संवेदनशील निर्माण में कुछ 3.49/3.50 श्रृंखला निर्माण शामिल हैं। जितनी जल्दी हो सके अपस्ट्रीम पैच लागू करें या अपने विक्रेता का अपडेटेड पैकेज इंस्टॉल करें (या SQLite से लिंक करने वाले किसी भी स्थैतिक बाइनरी को पुनर्निर्माण करें)। (github.com)

यह क्यों महत्वपूर्ण है

FTS5 का व्यापक रूप से कई डेस्कटॉप, मोबाइल और सर्वर अनुप्रयोगों के भीतर पूर्ण-पाठ खोज के लिए उपयोग किया जाता है और अक्सर अनुप्रयोगों या OS पैकेज में संकलित किया जाता है। दोष को या तो एक दुर्भावनापूर्ण तरीके से तैयार की गई SQLite डेटाबेस फ़ाइल को संसाधित करके या FTS5 सक्षम होने पर विशेष रूप से तैयार की गई क्वेरीज़ चलाकर ट्रिगर किया जा सकता है, जिसका अर्थ है कि वे अनुप्रयोग जो बाहरी DB फ़ाइलों को स्वीकार करते हैं या अविश्वसनीय उपयोगकर्ताओं को क्वेरीज़ चलाने की अनुमति देते हैं, जोखिम में हैं। टीमों के लिए इसका मतलब है तीन व्यावहारिक क्रियाएँ: (1) विक्रेता पैच इंस्टॉल करने को प्राथमिकता दें (या पैच किए गए SQLite रिलीज़ में अपग्रेड करें), (2) स्थैतिक रूप से लिंक किए गए या एम्बेडेड SQLite निर्माण के लिए, अपस्ट्रीम सुधार के साथ पुनर्निर्माण करें, और (3) जहाँ तात्कालिक पैचिंग संभव नहीं है, अविश्वसनीय FTS5 डेटाबेस को संसाधित करने से बचें और किसी भी फीचर का ऑडिट करें जो बाहरी DB फ़ाइलों को आयात या अनुक्रमित करता है। वितरण सलाहकार और ट्रैकर्स पैकेज की स्थिति और ठीक किए गए संस्करणों की सूची देते हैं — सिस्टम को ठीक किए जाने की घोषणा करने से पहले अपने प्लेटफ़ॉर्म के पैकेज के अपडेट होने की पुष्टि करें। (ubuntu.com)

स्रोत

आगे पढ़ें

नवीनतम डाइजेस्ट देखेंसभी डाइजेस्ट देखें