BDU:2023-05686 (CVE-2022-46908)

Уязвимость интерфейса командной строки системы управления базами данных SQLite, позволяющая нарушителю получить несанкционированный доступ к запрещенным пользовательским функциям

Опубликовано: 2023-09-15

Описание

Уязвимость интерфейса командной строки системы управления базами данных SQLite связана с ошибками реализации механизма защиты azAllowedFunctions. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к запрещенным пользовательским функциям

Затрагиваемое ПО и версии

Debian GNU/Linux (10)Debian GNU/Linux (11)Debian GNU/Linux (12)ОСОН ОСнова Оnyx (до 2.7)РОСА ХРОМ (12.4)SQLite (от 3.37.0 до 3.40.1)harbor (2.7.0)РЕД ОС (8.0)

Способ устранения

Использование рекомендаций:
Для SQLite:
https://sqlite.org/src/info/cefc032473ac5ad2

https://sqlite.org/forum/forumpost/07beac8056151b2f

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-46908

Для операционной системы РОСА ХРОМ: https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2267

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения sqlite3 до версии 3.40.1-1

Компенсирующие меры для Harbor :
- отключение/удаление неиспользуемых учетных записей пользователей;
- минимизация пользовательских привилегий;
- использование антивирусных средств защиты;
- контроль действий пользователей.

Для Ред ОС:
https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2022-46908

Оценка CVSS

Балл	6.4 — высокая опасность

Источники и патчи

https://www.oracle.com/security-alerts/cpuapr2023.html https://security.netapp.com/advisory/ntap-20230203-0005/https://nvd.nist.gov/vuln/detail/CVE-2022-46908 https://sqlite.org/src/info/cefc032473ac5ad2 https://news.ycombinator.com/item?id=33948588 https://sqlite.org/forum/forumpost/07beac8056151b2f https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2267 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.7/

Проверьте безопасность своего сайта и почты → Полная проверка домена