Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2020-01434: Уязвимость функции flattenSubquery() системы управления базами данных SQLite, связанная с разыменованием указателя null, позволяющая нарушителю вызвать отказ в обслуживании

Описание уязвимости	Уязвимость функции flattenSubquery() системы управления базами данных SQLite связана с некорректной обработкой некоторых вариантов обработки SELECT DISTINCT. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Вендор	Canonical Ltd., ООО «РусБИТех-Астра», Red Hat Inc., Сообщество свободного программного обеспечения, Novell Inc., Hipp, Wyrick & Company, Inc., АО "НППКТ"
Наименование ПО	Ubuntu, Astra Linux Special Edition (запись в едином реестре российских программ №369), Red Hat Enterprise Linux, Debian GNU/Linux, OpenSUSE Leap, Astra Linux Special Edition для «Эльбрус» (запись в едином реестре российских программ №11156), SQLite, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО	16.04 LTS (Ubuntu) 18.04 LTS (Ubuntu) 1.6 «Смоленск» (Astra Linux Special Edition) Desktop 6.0 (Red Hat Enterprise Linux) Server 6.0 (Red Hat Enterprise Linux) Workstation 6.0 (Red Hat Enterprise Linux) 8.0 (Debian GNU/Linux) 9.0 (Debian GNU/Linux) 8 (Red Hat Enterprise Linux) 15.1 (OpenSUSE Leap) 19.10 (Ubuntu) 8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус») до 3.30.1 включительно (SQLite) 1.7 (Astra Linux Special Edition) 4.7 (Astra Linux Special Edition) до 2.1 (ОСОН ОСнова Оnyx)
Тип ПО	Операционная система, СУБД
Операционные системы и аппаратные платформы	Canonical Ltd. Ubuntu 16.04 LTS Canonical Ltd. Ubuntu 18.04 LTS ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» (запись в едином реестре российских программ №369) Red Hat Inc. Red Hat Enterprise Linux Desktop 6.0 Red Hat Inc. Red Hat Enterprise Linux Server 6.0 Red Hat Inc. Red Hat Enterprise Linux Workstation 6.0 Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Сообщество свободного программного обеспечения Debian GNU/Linux 9.0 Red Hat Inc. Red Hat Enterprise Linux 8 Novell Inc. OpenSUSE Leap 15.1 Canonical Ltd. Ubuntu 19.10 ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград» (запись в едином реестре российских программ №11156) ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 (запись в едином реестре российских программ №369) ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 ARM (запись в едином реестре российских программ №369)
Тип ошибки	Разыменование указателя NULL
Идентификатор типа ошибки	CWE-476
Класс уязвимости	Уязвимость кода
Дата выявления	09.12.2019
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:L/Au:N/C:N/I:N/A:C CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Уровень опасности уязвимости	Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для SQLite: https://github.com/sqlite/sqlite/commit/57f7ece78410a8aae86aa4625fb7556897db384c Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2019-19923 Для Astra Linux: https://wiki.astralinux.ru/pages/viewpage.action?pageId=71831011 https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81 Для Ubuntu: https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-19923 Для программных продуктов Red Hat Inc.: https://access.redhat.com/errata/RHSA-2020:0514 Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2019-19923 Для ОСОН Основа: Обновление программного обеспечения sqlite3 до версии 3.27.2-3+deb10u1 Для Astra Linux Special Edition 4.7 (для архитектуры ARM): использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Манипулирование структурами данных
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://nvd.nist.gov/vuln/detail/CVE-2019-19923 https://security-tracker.debian.org/tracker/CVE-2019-19923 https://wiki.astralinux.ru/pages/viewpage.action?pageId=71831011 https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-19923 https://access.redhat.com/security/cve/CVE-2019-19923 https://www.suse.com/security/cve/CVE-2019-19923 https://github.com/sqlite/sqlite/commit/57f7ece78410a8aae86aa4625fb7556897db384c https://lists.opensuse.org/opensuse-security-announce/2020-02/msg00010.html https://lists.opensuse.org/opensuse-security-announce/2020-02/msg00015.html https://lists.opensuse.org/opensuse-security-announce/2020-02/msg00025.html https://access.redhat.com/errata/RHSA-2020:0514 https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/ https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2019-19923
Прочая информация	Данные уточняются

Последние изменения