SQLite DBMS मध्ये भेद्यता

SQLite DBMS मध्ये ओळखले भेद्यता (CVE-2019-5018), जे आक्रमणकर्त्याने तयार केलेली SQL क्वेरी कार्यान्वित करणे शक्य असल्यास सिस्टमवर तुमचा कोड कार्यान्वित करण्याची परवानगी देते. विंडो फंक्शन्सच्या अंमलबजावणीतील त्रुटीमुळे समस्या उद्भवली आहे आणि शाखेपासून सुरू होते SQLite 3.26. अगतिकता काढून टाकले एप्रिल अंकात SQLite 3.28 सुरक्षा समस्यांचे निराकरण करण्याचा स्पष्ट उल्लेख न करता.

विशेषत: तयार केलेल्या SQL SELECT क्वेरीचा परिणाम वापर-नंतर-मुक्त मेमरी ऍक्सेसमध्ये होऊ शकतो, जो SQLite वापरून अनुप्रयोगाच्या संदर्भात कोड कार्यान्वित करण्यासाठी एक शोषण तयार करण्यासाठी वापरला जाऊ शकतो. ऍप्लिकेशनने बाहेरून येणार्‍या SQL रचनांना SQLite मध्ये पास करण्याची परवानगी दिल्यास भेद्यतेचा फायदा घेतला जाऊ शकतो.

उदाहरणार्थ, क्रोमियम इंजिन वापरून Chrome ब्राउझर आणि ऍप्लिकेशन्सवर हल्ला संभाव्यतः केला जाऊ शकतो, कारण WebSQL API SQLite च्या शीर्षस्थानी लागू केले आहे आणि वेब ऍप्लिकेशन्सच्या SQL क्वेरीवर प्रक्रिया करण्यासाठी या DBMS ऍक्सेस करते. हल्ला करण्यासाठी, दुर्भावनापूर्ण JavaScript कोडसह एक पृष्ठ तयार करणे आणि वापरकर्त्यास क्रोमियम इंजिनवर आधारित ब्राउझरमध्ये ते उघडण्यास भाग पाडणे पुरेसे आहे.

स्त्रोत: opennet.ru