PT-2020-17501 · Rust · Rusqlite

Publicado 2020-04-23 · Atualizado 2022-01-04 · CVE-2020-35869

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do rusqlite anteriores à 0.23.0

Descrição

Um problema no crate rusqlite pode levar a violações de segurança de memória. Isso pode ocorrer de várias maneiras, incluindo o manuseio incorreto de strings de formato em rusqlite::trace::log, uso após liberação (use-after-free) na API Auxdata, UnlockNotification, VTab / VTabCursor, sessions.rs, o tipo repr(Rust), conflito de acesso à memória na API Auxdata e create module.

Recomendações

Para versões anteriores à 0.23.0, atualize para a versão 0.23.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso dos componentes vulneráveis, como a API Auxdata, UnlockNotification, VTab / VTabCursor e create module, até que um patch esteja disponível. Evite usar a função rusqlite::trace::log com strings de formato não confiáveis.

Correção

Use of Externally-Controlled Format String

Race Condition

Use After Free

Enumeração de Fraquezas

CWE-134

CWE-351

CWE-362

CWE-416

Identificadores relacionados

CVE-2020-35869

GHSA-28PH-F7GX-FQJ8

GHSA-3CGF-9M6X-PWWR

GHSA-6Q5W-M3C5-RV95

GHSA-8H4J-VM3R-VCQ3

GHSA-8R7Q-R9MX-35RH

GHSA-G4W7-3QR8-5623

GHSA-Q3CC-7P7G-392C

GHSA-RJH8-P66P-JRH5

RUSTSEC-2020-0014

Produtos afetados

Rusqlite

Referências · 29

• https://github.com/rusqlite/rusqlite/releases/tag/0.23.0 · Nota
• https://github.com/rusqlite/rusqlite/commit/45fd77ee43c38eea4d6f4e2e56c1667a55ec654f · Nota
• https://github.com/rusqlite/rusqlite/commit/71b2f5187b0cbace3f8b6ff53432ff2ca0defcf0 · Nota
• https://github.com/rusqlite/rusqlite/commit/2327d3b774927fdf48903c0bdc1ca7ec93c7c8d0 · Nota
• https://github.com/rusqlite/rusqlite/commit/ac30e169ae51b262bc8cf7026469851ce39b23c6 · Nota
• https://github.com/rusqlite/rusqlite/commit/c9ef5bd63cad5c0c123344c072b490a1a9bcbe1f · Nota
• https://github.com/rusqlite/rusqlite · Nota
• https://github.com/rusqlite/rusqlite/commit/2ef3628dac35aeba0a97d5fb3a57746b4e1d62b3 · Nota
• https://github.com/rusqlite/rusqlite/commit/3c6b57fe1b2cc87e7ebecde43dd836ffb1c4ea5c · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-35869 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-g4w7-3qr8-5623 · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2020-0014.html · Nota
• https://crates.io/crates/rusqlite · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-35868 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-28ph-f7gx-fqj8 · Aviso do Fabricante