CSIRT Panamá Aviso 2020-05-27 SQLite: Actualizaciones de Múltiples vulnerabilidades que afectan al sistema de gestión de bases de datos relacionales.

Gravedad:Media                                                                                                              Vulnerabilidad: CVE-2020-13434 / CVE-2020-13435                                           Fecha de publicación: Mayo 27, 2020
Última revisión: Mayo 27, 2020
Portal: https://sqlite.org

Sistemas Afectados:
Vulnerabilidad: CVE-2020-13434

Vulnerabilidades de seguridad que afectan a todas las versiones de SQLite desde que la función “printf()” fue introducida en la versión 3.8.2 (03-02-2014).

Vulnerabilidad: CVE-2020-13435

Vulnerabilidades de seguridad que afectan a todas las versiones de SQLite desde la versión 3.0.

I. Descripción
Actualización de seguridad que afecta al sistema de gestión de bases de datos relacionales SQLite.

II. Impacto

Vulnerabilidad: CVE-2020-13434

Debido a un error de desbordamiento de enteros en memoria en la función “sqlite3_str_vappendf()” en “printf.c”, un atacante remoto podría entregarle datos especialmente diseñados a la aplicación, enviar el error en memoria y causar una denegación de servicios en el sistema afectado.

Vulnerabilidad: CVE-2020-13435

Debido a la insuficiente validación de datos ingresados por el usuario en la función “sqlite3ExprCodeTarget()” en “expr.c”, un atacante remoto podría entregarle datos especialmente diseñados a la aplicación para causar una denegación de servicios en el sistema afectado.

III. Referencia a soluciones, herramientas e información

Actualizar a las versiones correspondientes de versión 3.33.0 de SQLite, mediante su sitio web (https://sqlite.org/download.html)

Fuentes:

• Common Vulnerabilities and Exposures (CVE). Recopilado en:  https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-134354
• Common Vulnerabilities and Exposures (CVE). Recopilado en:  https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-13435
• SQLite Source Repository. Recopilado en:  https://www.sqlite.org/src/info/23439ea582241138
• SQLite Source Repository. Recopilado en:  https://www.sqlite.org/src/info/7a5279a25c57adf1
• CSIRT Chile. 26 de mayo del 2020. Vulnerabilidades. Recopilado en: https://www.csirt.gob.cl/vulnerabilidades/9vsa20-00226-01/

Información de contacto
CSIRT PANAMA
Computer Security Incident Response Team Autoridad Nacional para la Innovacion Gubernamental
E-Mail: info@cert.pa
Phone: +507 520-CERT (2378)
Web: https://cert.pa
Twitter: @CSIRTPanama
Key ID: 16F2B124