CVE-2017-6983
WysokieStreszczenie
W produktach Apple, w tym iOS przed wersją 10.3.2 oraz macOS przed wersją 10.12.5, odkryto problem związany z komponentem 'SQLite'. Umożliwia on zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez złośliwie skonstruowaną stronę internetową.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego przejęcia kontroli nad systemem lub spowodować awarię aplikacji, co może prowadzić do utraty danych i zakłócenia działania usług.
Rekomendacja
Zaleca się aktualizację systemów do najnowszych wersji, aby usunąć tę podatność oraz monitorowanie ruchu sieciowego w celu wykrycia potencjalnych prób ataków.
Inne podatności w SQLite
Zobacz wszystkie- CVE-2017-7127Wysokie
W niektórych produktach Apple odkryto problem związany z komponentem 'SQLite'. Dotyczy to iOS przed wersją 11, macOS przed wersją 10.13, iCloud przed wersją 7.0 na Windows, tvOS przed wersją 11 oraz watchOS przed wersją 4.
- CVE-2017-15286Wysokie
SQLite w wersji 3.20.1 zawiera błąd dereferencji wskaźnika NULL w funkcji tableColumnList w pliku shell.c. Problem ten występuje, gdy nie są brane pod uwagę pewne przypadki, w których `sqlite3_step(pStmt)==SQLITE_ROW` jest fałszywe, co prowadzi do nieinicjalizowania struktury danych.
- CVE-2017-6991Wysokie
W produktach Apple, w tym iOS przed wersją 10.3.2 oraz macOS przed wersją 10.12.5, odkryto problem związany z komponentem 'SQLite'. Umożliwia on zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez złośliwie skonstruowaną stronę internetową.
- CVE-2015-5895Wysokie
Wielokrotne nieokreślone podatności w SQLite przed wersją 3.8.10.2, używanej w Apple iOS przed wersją 9, mogą prowadzić do nieznanego wpływu i wektorów ataku.
- CVE-2015-3717Wysokie
W SQLite, używanym w Apple iOS przed wersją 8.4 oraz OS X przed wersją 10.10.4, występuje wiele przepełnień bufora w funkcjonalności printf, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie awarii aplikacji.
- CVE-2015-3416Wysokie
Funkcja sqlite3VXPrintf w SQLite przed wersją 3.8.9 nieprawidłowo obsługuje wartości precyzji i szerokości podczas konwersji zmiennoprzecinkowych, co może prowadzić do przepełnienia całkowitego i przepełnienia bufora na stosie. Atakujący mogą wykorzystać to w kontekście, aby spowodować odmowę usługi lub potencjalnie inny nieokreślony wpływ.
- CVE-2015-3415Wysokie
Funkcja sqlite3VdbeExec w SQLite przed wersją 3.8.9 nieprawidłowo implementuje operatory porównania, co pozwala atakującym na wywołanie odmowy usługi lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanej klauzuli CHECK.
- CVE-2015-3414Wysokie
SQLite w wersjach przed 3.8.9 nieprawidłowo implementuje usuwanie cudzysłowów z nazw sekwencji porównawczych, co pozwala atakującym zależnym od kontekstu na spowodowanie odmowy usługi (dostęp do niezainicjowanej pamięci i awaria aplikacji) lub potencjalnie inny nieokreślony wpływ poprzez spreparowany klauzulę COLLATE.
- CVE-2019-19603Wysokie
SQLite 3.30.1 nieprawidłowo obsługuje pewne instrukcje SELECT z nieistniejącym widokiem, co prowadzi do awarii aplikacji.
- CVE-2019-19645Średnie
Podatność w SQLite do wersji 3.30.1 umożliwia atakującym wywołanie nieskończonej rekurencji poprzez określone typy widoków samoodnoszących się w połączeniu z instrukcjami ALTER TABLE.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in certain Apple products. iOS before 10.3.2 is affected. macOS before 10.12.5 is affected. The issue involves the "SQLite" component. It allows remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via a crafted web site.