RUSTSEC-2026-0459: `libsqlite3-sys` via C SQLite CVE-2026-119375

Aperta Adatta ai principianti
  • Qualcosa non va?
#3,661 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
65/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
rust, sqlite
Ambito
databases, security

Direzione di ricerca

Inizia controllando le dichiarazioni delle dipendenze e il file di lock del repository per individuare libsqlite3-sys e rusqlite, poi verifica se la build abilita SQLite integrato o SQLCipher integrato. L’avviso indica che le versioni integrate interessate sono corrette a partire da libsqlite3-sys 0.39.0, mentre SQLCipher integrato potrebbe includere ancora una versione di SQLite interessata. Il lavoro è completato quando la configurazione delle dipendenze e il file di lock del repository usano una versione sicura oppure documentano chiaramente qualsiasi esposizione residua.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

libsqlite3-sys via C SQLite CVE-2026-119375

Details
Package libsqlite3-sys
Version 0.30.1
URL https://nvd.nist.gov/vuln/detail/CVE-2026-119375
Date 2026-10-30
Patched versions >=0.39.0
Unaffected versions <0.6.0

SQLite versions before 3.54.0 can return uninitialized page-cache memory when a process opens a database file together with a sibling write-ahead-log (-wal) file whose page size differs from the database's. A crafted pair of files can make ordinary queries return stale bytes from the process's memory. The attack vector is local and needs the victim to open the files.

As libsqlite3-sys bundles SQLite when it is built from its bundled source (the bundled feature, which rusqlite's bundled feature enables), it is susceptible to the vulnerability. The releases 0.6.0 to 0.38.2 bundle SQLite 3.13.0 to 3.53.2 and are affected; the earlier releases contain no SQLite source. libsqlite3-sys was updated to bundle the patched version of SQLite in 0.39.0 (SQLite 3.54.0) and 0.39.1 (SQLite 3.54.1), released with rusqlite 0.41. libsqlite3-sys 0.39 declares Rust 1.88 and rusqlite 0.41 declares Rust 1.89.

Only a process that opens a database file, with its -wal, that a less trusted party could have written is exposed. A build that links a system SQLite instead of the bundled source is not affected by the copy in this crate; its exposure is that of the system library's version. The bundled-sqlcipher feature builds SQLCipher instead of SQLite; in 0.39.0 and 0.39.1 it depends on sqlcipher-src =419.0.6, which bundles SQLite 3.53.4 and is affected.

See advisory page for additional details.

Lingua principale
Rust
Stelle
1.4k
Fork
628
Merge medio
3g 3h
PR unite (30g)
79

Preparare l'ambiente

Apri in Codespaces

Avvia il container di sviluppo del progetto nel browser, con il tuo account GitHub.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di apache/iceberg-rust

Tutte le issue di apache/iceberg-rust

Issue simili

Altre issue su Rust

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.