SQLite FTS5 переполнение целого числа (CVE‑2025‑7709) — обновите встроенный SQLite сейчас

Основное обновление

Ошибка переполнения целого числа в расширении FTS5 SQLite (CVE‑2025‑7709) может усечь 64-битный размер до 32 бит при выделении массива указателей на могилы, что позволяет выполнить запись за пределами допустимого диапазона, если злоумышленник может предоставить поддельную таблицу FTS5 или выполнить контролируемые злоумышленником запросы. В upstream ошибка была исправлена (патч зафиксирован в июле 2025 года и включен в исправленные версии), и сопровождающие начали выпускать обновления дистрибутивов; уязвимые сборки включают некоторые сборки серии 3.49/3.50. Примените патч от upstream или установите обновленный пакет вашего поставщика (или пересоберите любые статические бинарные файлы, связывающие SQLite) как можно скорее. (github.com)

Почему это важно

FTS5 широко используется для полнотекстового поиска во многих настольных, мобильных и серверных приложениях и часто компилируется в приложения или пакеты ОС. Уязвимость может быть вызвана либо обработкой злонамеренно созданного файла базы данных SQLite, либо выполнением специально подготовленных запросов, когда FTS5 включен, что означает, что приложения, которые принимают внешние файлы БД или позволяют ненадежным пользователям выполнять запросы, находятся под угрозой. Для команд это означает три практических действия: (1) приоритизировать установку патчей от поставщика (или обновиться до исправленной версии SQLite), (2) для статически связанных или встроенных сборок SQLite пересобрать с исправлением от upstream, и (3) когда немедленное исправление невозможно, избегать обработки ненадежных баз данных FTS5 и проверять любые функции, которые импортируют или индексируют внешние файлы БД. Уведомления и трекеры дистрибутивов перечисляют статусы пакетов и исправленные версии — подтвердите, что пакет вашей платформы был обновлен, прежде чем объявлять системы исправленными. (ubuntu.com)

Источник

• Источник