Especialistas en ciberseguridad han reportado el hallazgo de al menos dos vulnerabilidades críticas en SQLite, el popular sistema de gestión de bases de datos relacional de código abierto. Acorde al reporte, la explotación de estas vulnerabilidades podría conducir a escenarios de ataques de denegación de servicios (DDoS).
A continuación se presenta una breve reseña de las vulnerabilidades encontradas, además de sus respectivas puntuaciones y claves de identificación según el Common Vulnerability Scoring System (CVSS).
La primera de las vulnerabilidades encontradas, identificada como CVE-2020-13434, existe debido a un desbordamiento de enteros al interior de la función sqlite3_str_vappendf() en printf.c y permitiría a los actores de amenazas desplegar un ataque de denegación de servicios.
Los hackers remotos podrían pasar datos especialmente diseñados a la aplicación objetivo, desencadenar desbordamiento de enteros y finalmente colapsar la aplicación. La vulnerabilidad recibió un puntaje de 6.5/10 en la escala del CVSS, por lo que se le considera una falla de gravedad media.
Para explotar esta falla, los hackers maliciosos tendrían que enviar una solicitud especialmente diseñada a la aplicación afectada. A pesar de que la vulnerabilidad podría ser explotada por un actor de amenazas remoto a través de Internet, hasta el momento no se ha confirmado la existencia de un malware para desencadenar el ataque.
Por otra parte, la segunda vulnerabilidad reportada (identificada como CVE-2020-13435) existe debido a la insuficiente validación de la entrada proporcionada por los usuarios en la función sqlite3ExprCodeTarget() en expr.c, y permitiría a los hackers maliciosos desplegar ataques de denegación de servicios.
Los actores de amenazas pueden pasar entradas especialmente diseñadas a la aplicación objetivo, desencadenando el ataque. La vulnerabilidad recibió un puntaje de 6.6/10 en la escala CVSS, por lo que se le considera una falla de severidad media.
Para explotar la vulnerabilidad, los hackers sólo tendrían que enviar solicitudes especialmente diseñadas a la aplicación objetivo. Aunque la vulnerabilidad puede ser explotada de forma remota por atacantes no autenticados, hasta el momento no se ha detectado la existencia de un malware para desencadenar el ataque.
Los desarrolladores reconocieron las vulnerabilidades y comenzaron a trabajar en un parche de actualización inmediatamente después de recibir el reporte. Las correcciones ya están disponibles, por lo que se recomienda a los administradores de implementaciones vulnerables instalar las actualizaciones correspondientes lo antes posible.
Otras fallas similares han sido reportadas anteriormente. A inicios de abril, SQLite reveló una falla de validación insuficiente de la entrada suministrada por el usuario cuando se maneja de forma inadecuada la inicialización del objeto AggInfo. Su explotación permite que un actor de amenazas remoto pueda desplegar ataques de denegación de servicio enviando información especialmente diseñada mediante una consulta de función con formato incorrecto, desencadenando la condición DDoS.
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.