当前位置:安全资讯 >> 全文

SQLite 再被曝 RCE 漏洞

发布时间:2019-5-15 19:36 标签: SQLite 漏洞,RCE
分享到 0

思科 Talos 研究人员发现了一个 SQLite 释放后使用漏洞,从理论上来讲可导致攻击者在受影响设备上远程执行代码。

Talos 在描述该漏洞 CVE-2019-5018 时表示,“它是存在于 Squlite3 3.26.0 window 函数功能的一个释放后使用漏洞。”

SQLite 是一个开源项目,其维护人员将该漏洞描述为“世界上使用最广泛的数据库引擎。”

SQLite 实现 SQL Windows 函数,而研究员 Cory Duplantis 发现 SQLite 处理函数的方式中包含复用已删除的分区。他指出,“分区删除后,在 exprListAppendList 中复用,从而导致释放后使用漏洞,继而引发拒绝服务。如果攻击者能够在释放后控制该内存,那么就有机会损坏更多的数据,可能造成代码执行后果。”

Talos 团队发布详细说明了该漏洞的情况。修复方案较简单:将项目或产品更新至 SQLite 版本3.28,可从 SQLite 网站下载,并将修复方案推送给终端用户。

影响

虽然看似令人担心,但问题的关键在于,攻击者必须在易受攻击的引擎上执行特殊构造的 SQL 命令才能在底层主机系统上执行代码。

一般而言,用户和恶意人员无法运行任意 SQL 命令,因为这意味着他们能造成更多损坏如删除或访问其它用户的数据。如攻击者能够在数据库中注入或运行自己的 SQL 命令,则用户的应用程序和数据已遭攻陷。

简言之,如果应用程序中存在 SQL 注入漏洞,那么攻击者就能够结合使用最新的这个 SQLite 漏洞在底层计算机或设备上运行恶意代码,如恶意软件。它可导致黑客从 SQL 注入跳到代码执行。

也就是说,实际上需要结合使用 SQL 注入漏洞,SQLite 的这个漏洞才能造成严重损害。因此不必恐慌,并非世界上所有的系统都会遭攻击,但应尽快修复。

历史

去年年末,腾讯研究员曾发现一个 SQLite 漏洞,可被用于在易受攻击的系统中注入恶意软件。它依靠的是内存损坏创建任意代码执行的条件,尽管关键向量是普通用户拥有能够执行 SQL 命令的权限。

而时间再往前推,SQLite 的创始人 Dwayne Richard Hipp 曾公开讨论基督徒式的行为准则。

本文由360代码卫士编译,不代表360观点,转载请注明“转自360代码卫士www.codesafe.cn”。
原文链接:https://www.theregister.co.uk/2019/05/10/sqlite_rce_vuln/
参与讨论,请先 登录 | 注册

用户评论