PT-2021-19200 · Zetetic+1 · Sqlcipher+1
Publicado
2021-03-03
·
Atualizado
2024-10-17
·
CVE-2021-3119
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Zetetic SQLCipher versões 4.x anteriores à 4.4.3
Descrição
O problema está relacionado a uma falha de desreferenciamento de ponteiro NULL na função
sqlcipher export em crypto.c e na função sqlite3StrICmp em sqlite3.c. Isso pode permitir que um invasor execute um ataque remoto de negação de serviço (DoS) ao executar uma sequência de comandos SQL maliciosa, o que pode causar uma falha de segmentação. Um exemplo desse tipo de ataque é por meio de injeção de SQL.Recomendações
Para as versões 4.x do Zetetic SQLCipher anteriores à 4.4.3, atualize para a versão 4.4.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso das funções
sqlcipher export e sqlite3StrICmp até que um patch esteja disponível. Além disso, implemente medidas para prevenir ataques de injeção de SQL a fim de minimizar o risco de exploração.Exploit
Correção
DoS
NULL Pointer Dereference
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Sqlcipher