BDU:2020-01436: Уязвимость системы управления базами данных SQLite, связанная с использованием памяти после освобождения, позволяющая нарушителю вызвать отказ в обслуживании

Описание уязвимости Уязвимость системы управления базами данных SQLite связана с ошибкой оконной функции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Вендор Canonical Ltd., ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, Hipp, Wyrick & Company, Inc.
Наименование ПО Ubuntu, Astra Linux Special Edition (запись в едином реестре российских программ №369), Debian GNU/Linux, Astra Linux Special Edition для «Эльбрус» (запись в едином реестре российских программ №11156), SQLite
Версия ПО
  • 12.04 LTS (Ubuntu)
  • 16.04 LTS (Ubuntu)
  • 18.04 LTS (Ubuntu)
  • 1.6 «Смоленск» (Astra Linux Special Edition)
  • 8.0 (Debian GNU/Linux)
  • 9.0 (Debian GNU/Linux)
  • 19.04 (Ubuntu)
  • 19.10 (Ubuntu)
  • 8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
  • до 3.30.1 включительно (SQLite)
Тип ПО Операционная система, СУБД
Операционные системы и аппаратные платформы
Тип ошибки Использование после освобождения
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 09.12.2019
Базовый вектор уязвимости
Уровень опасности уязвимости Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)
Возможные меры по устранению уязвимости
Использование ркомендаций:
Для SQLite:
https://github.com/sqlite/sqlite/commit/57f7ece78410a8aae86aa4625fb7556897db384c

Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=71831011
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81

Для Ubuntu:
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-5018

Для Debian GNU/Linux:
Обновление программного обеспечения (пакета sqlite3) до 3.16.2-5+deb9u1 или более поздней версии
Статус уязвимости Подтверждена производителем
Наличие эксплойта Существует в открытом доступе
Способ эксплуатации
  • Манипулирование структурами данных
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения