SQLite DBMS-ലെ അപകടസാധ്യത

IN SQLite DBMS തിരിച്ചറിഞ്ഞു ദുർബലത (CVE-2019-5018), ഒരു ആക്രമണകാരി തയ്യാറാക്കിയ ഒരു SQL ചോദ്യം എക്സിക്യൂട്ട് ചെയ്യാൻ കഴിയുമെങ്കിൽ സിസ്റ്റത്തിൽ നിങ്ങളുടെ കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. വിൻഡോ ഫംഗ്‌ഷനുകൾ നടപ്പിലാക്കുന്നതിലെ പിശക് മൂലമാണ് പ്രശ്നം ഉണ്ടാകുന്നത്, ഇത് ബ്രാഞ്ചിൽ നിന്ന് ആരംഭിക്കുന്നു SQLite 3.26. ദുർബലത ഇല്ലാതാക്കി ഏപ്രിൽ ലക്കത്തിൽ SQLite 3.28 സുരക്ഷാ പ്രശ്‌നങ്ങൾ പരിഹരിക്കുന്നതിനെക്കുറിച്ച് വ്യക്തമായ പരാമർശങ്ങളൊന്നുമില്ലാതെ.

പ്രത്യേകം തയ്യാറാക്കിയ SQL SELECT അന്വേഷണത്തിന് ഉപയോഗത്തിന് ശേഷമുള്ള മെമ്മറി ആക്‌സസ്സ് ഉണ്ടാകാം, ഇത് SQLite ഉപയോഗിക്കുന്ന ഒരു ആപ്ലിക്കേഷന്റെ പശ്ചാത്തലത്തിൽ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യുന്നതിന് ഒരു ചൂഷണം സൃഷ്ടിക്കാൻ ഉപയോഗിക്കാനിടയുണ്ട്. പുറത്ത് നിന്ന് വരുന്ന SQL നിർമ്മിതികൾ SQLite-ലേക്ക് കടത്തിവിടാൻ ആപ്ലിക്കേഷൻ അനുവദിക്കുകയാണെങ്കിൽ ഈ അപകടസാധ്യത പ്രയോജനപ്പെടുത്താം.

ഉദാഹരണത്തിന്, SQLite-ന് മുകളിൽ WebSQL API നടപ്പിലാക്കുകയും വെബ് ആപ്ലിക്കേഷനുകളിൽ നിന്നുള്ള SQL അന്വേഷണങ്ങൾ പ്രോസസ്സ് ചെയ്യുന്നതിന് ഈ DBMS ആക്സസ് ചെയ്യുകയും ചെയ്യുന്നതിനാൽ, Chrome ബ്രൗസറിലും Chromium എഞ്ചിൻ ഉപയോഗിക്കുന്ന ആപ്ലിക്കേഷനുകളിലും ആക്രമണം നടത്താൻ സാധ്യതയുണ്ട്. ആക്രമിക്കാൻ, ക്ഷുദ്രകരമായ JavaScript കോഡ് ഉപയോഗിച്ച് ഒരു പേജ് സൃഷ്‌ടിക്കുകയും Chromium എഞ്ചിൻ അടിസ്ഥാനമാക്കിയുള്ള ബ്രൗസറിൽ അത് തുറക്കാൻ ഉപയോക്താവിനെ നിർബന്ധിക്കുകയും ചെയ്താൽ മതിയാകും.

അവലംബം: opennet.ru