SQLite DBMS में भेद्यता

SQLite DBMS में पहचान की भेद्यता (सीवीई-2019-5018), जो आपको सिस्टम पर अपना कोड निष्पादित करने की अनुमति देता है यदि किसी हमलावर द्वारा तैयार की गई SQL क्वेरी को निष्पादित करना संभव है। समस्या विंडो फ़ंक्शंस के कार्यान्वयन में त्रुटि के कारण होती है और शाखा से शुरू होती दिखाई देती है एसक्यूलाइट 3.26. भेद्यता सफाया अप्रैल अंक में एसक्यूलाइट 3.28 सुरक्षा मुद्दों को ठीक करने का कोई स्पष्ट उल्लेख नहीं है।

एक विशेष रूप से तैयार की गई SQL SELECT क्वेरी के परिणामस्वरूप उपयोग के बाद-मुक्त मेमोरी एक्सेस हो सकता है, जिसका उपयोग संभावित रूप से SQLite का उपयोग करके किसी एप्लिकेशन के संदर्भ में कोड निष्पादित करने के लिए एक शोषण बनाने के लिए किया जा सकता है। यदि एप्लिकेशन बाहर से आने वाले SQL निर्माणों को SQLite में पारित करने की अनुमति देता है तो भेद्यता का फायदा उठाया जा सकता है।

उदाहरण के लिए, क्रोम ब्राउज़र और क्रोमियम इंजन का उपयोग करने वाले एप्लिकेशन पर संभावित रूप से हमला किया जा सकता है, क्योंकि WebSQL API SQLite के शीर्ष पर कार्यान्वित किया जाता है और वेब अनुप्रयोगों से SQL क्वेरी को संसाधित करने के लिए इस DBMS तक पहुंचता है। हमला करने के लिए, दुर्भावनापूर्ण जावास्क्रिप्ट कोड के साथ एक पेज बनाना और उपयोगकर्ता को क्रोमियम इंजन पर आधारित ब्राउज़र में इसे खोलने के लिए मजबूर करना पर्याप्त है।

स्रोत: opennet.ru