CVE-2020-11656

Podatność wynika z nieprawidłowego zarządzania pamięcią w implementacji ALTER TABLE — po zwolnieniu obszaru pamięci wskaźnik do niego jest nadal używany (use-after-free, CWE-416). Błąd można wywołać poprzez specjalnie spreparowane zapytanie SQL zawierające klauzulę ORDER BY należącą do złożonego wyrażenia SELECT (compound SELECT statement). Manipulacja zwolnioną pamięcią może prowadzić do wykonania kontrolowanego przez atakującego kodu.

Atakujący może doprowadzić do wykonania dowolnego kodu (RCE), uzyskania pełnego dostępu do danych oraz destabilizacji lub niedostępności systemu. Ze względu na brak wymogu uwierzytelnienia i interakcji użytkownika, podatność stwarza bardzo poważne zagrożenie dla poufności, integralności i dostępności systemu.

Należy zaktualizować SQLite do wersji wyższej niż 3.31.1. Dla produktów pochodnych należy zastosować patche dostępne u producentów zgodnie z referencjami: NetApp (ntap-20200416-0001), Oracle (CPU April 2021) oraz komunikaty bezpieczeństwa dla systemów FreeBSD i Gentoo Linux.

SQLite w wersjach do 3.31.1 włącznie. Podatność dotyczy również produktów opartych na tej bibliotece: NetApp ONTAP Select Deploy Administration Utility oraz Oracle Communications Network Charging and Control (wersje wskazane w referencjach producenta).