sqlite sqlite 跨界内存读

CVE编号

CVE-2021-36690

利用情况

POC 已公开

补丁情况

没有补丁

披露时间

2021-08-24

漏洞描述

** DISPUTED ** A segmentation fault can occur in the sqlite3.exe command-line component of SQLite 3.36.0 via the idxGetTableInfo function when there is a crafted SQL query. NOTE: the vendor disputes the relevance of this report because a sqlite3.exe user already has full privileges (e.g., is intentionally allowed to execute commands). This report does NOT imply any problem in the SQLite library.

解决建议

更新至最新版本

参考链接
https://www.oracle.com/security-alerts/cpujan2022.html
https://www.sqlite.org/forum/forumpost/718c0a8d17

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	sqlite	sqlite	3.36.0	-
	运行在以下环境
	系统	debian_10	sqlite3	*		Up to (excluding) 3.27.2-3+deb10u1
	运行在以下环境
	系统	debian_11	sqlite3	*		Up to (excluding) 3.34.1-3

阿里云评分 5.8

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 POC 已公开
• 补丁情况 没有补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 服务器失陷
• 全网数量 N/A

CWE-ID 漏洞类型 CWE-125 跨界内存读