SQLite DBMS માં નબળાઈ

SQLite DBMS માં ઓળખાયેલ નબળાઈ (CVE-2019-5018), જે તમને તમારા કોડને સિસ્ટમ પર એક્ઝિક્યુટ કરવાની મંજૂરી આપે છે જો હુમલાખોર દ્વારા તૈયાર કરાયેલ SQL ક્વેરી એક્ઝિક્યુટ કરવી શક્ય હોય. સમસ્યા વિન્ડો ફંક્શનના અમલીકરણમાં ભૂલને કારણે થાય છે અને શાખાથી શરૂ થાય છે એસક્યુલાઇટ 3.26. નબળાઈ નાબૂદ એપ્રિલ અંકમાં એસક્યુલાઇટ 3.28 સુરક્ષા સમસ્યાઓને ઠીક કરવાના કોઈ સ્પષ્ટ ઉલ્લેખ સાથે.

વિશિષ્ટ રીતે રચાયેલ SQL SELECT ક્વેરીનો ઉપયોગ-આફ્ટર-ફ્રી મેમરી એક્સેસમાં પરિણમી શકે છે, જે સંભવતઃ SQLite નો ઉપયોગ કરીને એપ્લિકેશનના સંદર્ભમાં કોડ ચલાવવા માટે શોષણ બનાવવા માટે ઉપયોગમાં લઈ શકાય છે. જો એપ્લીકેશન બહારથી આવતા SQL કંસ્ટ્રક્શનને SQLiteમાં પસાર કરવાની મંજૂરી આપે તો નબળાઈનો ઉપયોગ કરી શકાય છે.

ઉદાહરણ તરીકે, ક્રોમિયમ એન્જીનનો ઉપયોગ કરીને ક્રોમ બ્રાઉઝર અને એપ્લિકેશન્સ પર હુમલો સંભવિત રીતે હાથ ધરવામાં આવી શકે છે, કારણ કે WebSQL API એ SQLiteની ટોચ પર અમલમાં છે અને વેબ એપ્લિકેશન્સમાંથી SQL ક્વેરી પર પ્રક્રિયા કરવા માટે આ DBMS ને ઍક્સેસ કરે છે. હુમલો કરવા માટે, દૂષિત JavaScript કોડ સાથે એક પૃષ્ઠ બનાવવા માટે અને વપરાશકર્તાને Chromium એન્જિન પર આધારિત બ્રાઉઝરમાં તેને ખોલવા માટે દબાણ કરવા માટે તે પૂરતું છે.

સોર્સ: opennet.ru