BDU:2019-03779 (CVE-2019-9936)

Уязвимость функции fts5HashEntrySort в sqlite3.c системы управления базами данных SQLite, позволяющая нарушителю раскрыть защищаемую информацию

Опубликовано: 2019-10-29

Описание

Уязвимость функции fts5HashEntrySort в sqlite3.c системы управления базами данных SQLite связана с выходом операции чтения за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Затрагиваемое ПО и версии

Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Ubuntu (18.10)Astra Linux Special Edition (1.6 «Смоленск»)SUSE Linux Enterprise Module for Open Buildservice Development Tools (15)Fedora (29)Red Hat Enterprise Linux (8)SUSE Linux Enterprise Module for Basesystem (15)SUSE Linux Enterprise Module for Basesystem (15 SP1)OpenSUSE Leap (15.0)Fedora (30)Debian GNU/Linux (8)SQLite (до 3.27.2 включительно)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Java SE (8u231)Oracle Communications Unified Inventory Management (7.3)Oracle Communications Unified Inventory Management (7.4)Oracle Communications Design Studio (7.3.4.3.0)Oracle Communications Design Studio (7.3.5.5.0)Oracle Communications Design Studio (7.4.0.4.0)MySQL Workbench (до 8.0.18 включительно)MySQL Cluster (от 7.3.0 до 7.3.27 включительно)MySQL Cluster (от 7.4.0 до 7.4.25 включительно)MySQL Cluster (от 7.5.0 до 7.5.15 включительно)MySQL Cluster (от 7.6.0 до 7.6.12 включительно)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Использование рекомендаций производителя:
Для SQLite:
https://sqlite.org/src/info/b3fa58dd7403dbd4

Для Ubuntu:
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-9936.html

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2019-9936/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2019-9936

Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpujan2020.html
https://www.oracle.com/security-alerts/cpuoct2019.html

Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=71831011
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EXD2GYJVTDGEQPUNMMMC5TB7MQXOBBMO/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/N66U5PY5UJU4XBFZJH7QNKIDNAVIB4OP/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2019-9936

Для ОС ОН «Стрелец»:
Обновление программного обеспечения sqlite3 до версии 3.16.2-5+deb9u3

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://www.oracle.com/technetwork/topics/security/public-vuln-to-advisory-mapping-093627.html https://www.mail-archive.com/sqlite-users@mailinglists.sqlite.org/msg114382.html http://www.securityfocus.com/bid/107562 https://sqlite.org/src/info/b3fa58dd7403dbd4 https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-9936.html https://www.suse.com/security/cve/CVE-2019-9936/https://access.redhat.com/security/cve/cve-2019-9936 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EXD2GYJVTDGEQPUNMMMC5TB7MQXOBBMO/

Проверьте безопасность своего сайта и почты → Полная проверка домена