Bulletin d'alerte Debian

DLA-2340-1 sqlite3 -- Mise à jour de sécurité pour LTS

Date du rapport :

22 août 2020

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2018-8740, CVE-2018-20346, CVE-2018-20506, CVE-2019-5827, CVE-2019-9936, CVE-2019-9937, CVE-2019-16168, CVE-2019-20218, CVE-2020-11655, CVE-2020-13434, CVE-2020-13630, CVE-2020-13632, CVE-2020-13871.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans sqlite3, une bibliothèque C qui met en œuvre un moteur de base de données SQL.

CVE-2018-8740
Les bases de données dont le schéma est corrompu utilisant une construction CREATE TABLE AS pourraient provoquer un déréférencement de pointeur NULL.
CVE-2018-20346
Lorsque l’extension FTS3 est active, sqlite3 est confrontée à un dépassement d'entier (et le dépassement de tampon consécutif) pour les requêtes FTS3 qui surviennent après des modifications faites sur des shadow tables, permettant à des attaquants distants d’exécuter du code arbitraire en exploitant la possibilité d’exécuter des constructions SQL arbitraires.
CVE-2018-20506
Lorsque l’extension FTS3 est active, sqlite3 est confrontée à un dépassement d'entier (et le dépassement de tampon consécutif) pour les requêtes FTS3 dans une opération merge qui surviennent après des modifications faites sur des shadow tables, permettant à des attaquants distants d’exécuter du code arbitraire en exploitant la possibilité d’exécuter des constructions SQL arbitraires.
CVE-2019-5827
Un dépassement d'entier permettrait à un attaquant distant d’éventuellement exploiter une corruption de tas à l'aide d'une page HTML contrefaite, et impactait principalement chromium.
CVE-2019-9936
L’exécution de requêtes de préfixe fts5 dans une transaction pourrait déclencher une lecture hors limites de tampon de tas. Cela pourrait conduire à une fuite d'informations.
CVE-2019-9937
L’intercalation de lectures et écritures dans une seule transaction avec une table virtuelle fts5 pourrait conduire à un déréférencement de pointeur NULL.
CVE-2019-16168
Un navigateur ou une autre application peut être amené à planter à cause d’une validation inadéquate de paramètre qui pourrait conduire à erreur de division par zéro.
CVE-2019-20218
Unwinding la pile WITH s’exécute même après une erreur d’analyse, aboutissant à un possible plantage d'application.
CVE-2020-13630
Le code relatif à la fonctionnalité snippet expose à un défaut d’utilisation de mémoire après libération.
CVE-2020-13632
Une requête matchinfo() contrefaite peut conduire à un déréférencement de pointeur NULL.
CVE-2020-13871
La réécriture de l’arbre d’analyse pour les fonctions de fenêtrage est trop tardive, conduisant à un défaut d’utilisation de mémoire après libération.
CVE-2020-11655
Une initialisation incorrecte d’objets AggInfo permet à des attaquants de provoquer un déni de service (erreur de segmentation) à l'aide d'une requête de fonction de fenêtrage mal formée.
CVE-2020-13434
Le code dans sqlite3_str_vappendf dans printf.c contient un défaut de dépassement d'entier.

Pour Debian 9 Stretch, ces problèmes ont été corrigés dans la version 3.16.2-5+deb9u2.

Nous vous recommandons de mettre à jour vos paquets sqlite3.

Pour disposer d'un état détaillé sur la sécurité de sqlite3, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/sqlite3.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.