abraxas/sqlite-fj-using-authSQLite 3.53.4 - Hoch - Lokal - Privilegien-Rest - FULL JOIN USING überspringt sqlite3AuthRead
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · sqlite-fj-using-auth
Klasse: Privilegien-Überbleibsel Reichweite: Lokal
SQLite 3.53.4 (b09c88c / SOURCE_ID 2026-07-24 19:02:57 bf7c7f30031888f4e796e429ab3978879485813aaca6f641c7b33e4e09459bcc) - Hwaci
lookupName() schreibt eine FULL JOIN USING-Spalte in coalesce(...) (TK_FUNCTION) um. sqlite3AuthRead läuft nur für TK_COLUMN / TK_TRIGGER, daher erhalten USING-Spalten niemals einen SQLITE_READ-Callback. Ein Embedder, der sqlite3_set_authorizer installiert und READ auf t2.x verweigert/ignoriert, liefert diese Spalte dennoch über SELECT x FROM t1 FULL JOIN t2 USING(x) zurück.
Der Authorizer ist beim Standard-Öffnen deaktiviert. Überbleibsel dieser C-API. Kein RCE. FULL JOIN ON und LEFT JOIN USING bleiben verweigert / kein Leak. Explizites coalesce(t2.x) autorisiert weiterhin.
| ID | noch keine CVE |
| Klasse | Privilegien-Überbleibsel (Authorizer-Überspringen auf Spaltenebene) |
| Reichweite | Lokal (Embedder sqlite3_set_authorizer; Angreifer-SQL) |
| CWE | CWE-863, CWE-284 |
| CVSS | Hoch: 7.5 CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| Produkt | SQLite (GitHub-Mirror sqlite/sqlite) |
| Betroffen | 3.53.4 (b09c88c14082339b66c7b7158d609a771e64ca69). Der nur in 3.54 enthaltene Authorizer-FULL-JOIN-USING-Fix (2cb2287768) ist nicht in dieser GA-Version. |
| Auth | Embedder hat sqlite3_set_authorizer installiert; Standard-Callback ist NULL |
| Lizenz | GNU Affero GPL v3.0 |
| Lab | Nur 127.0.0.1:18840. Witness-String. Kein RCE. |
Gegen einen Embedder, der sqlite3_set_authorizer als Spalten-ACL installiert hat, bereite SELECT x FROM t1 FULL JOIN t2 USING(x) vor (oder NATURAL FULL JOIN). Ein bloßes SELECT x FROM t2 wird verweigert (SQLITE_AUTH 23). Die FULL JOIN USING-Form liefert die READ-verweigerte Spalte zurück. Es feuern null READ t2.x-Callbacks.
Der Authorizer ist deaktiviert, sofern der Embedder keinen installiert. Das Standard-sqlite3_open ist nicht dieses Überbleibsel. Kein RCE.
Zwanzig Quellcode-Suchen in 3.53.4 nach PHP. Die Skip-Liste nannte bereits den 3.54-FULL-JOIN-USING-Authorizer-Check-in. Er fehlt noch in der neuesten GA-Version. pExpr->op ist TK_FUNCTION bei lookupname_end, daher läuft das AuthRead-Gate nie. WRC_Prune hindert den Walker zudem daran, in die coalesce-Argumente abzusteigen.
lookupname_end:
if( cnt==1 ){
#ifndef SQLITE_OMIT_AUTHORIZATION
if( pParse->db->xAuth
&& (pExpr->op==TK_COLUMN || pExpr->op==TK_TRIGGER)
){
sqlite3AuthRead(pParse, pExpr, pSchema, pNC->pSrcList);
}
#endif
Bereits dokumentierte Irrwege: den Authorizer als standardmäßig aktiv zu betrachten; zu erwarten, dass LEFT JOIN USING oder FULL JOIN ON leaken; zu erwarten, dass explizites coalesce(t2.x) AuthRead überspringt; 3.54.0 zu pinnen, während es noch ein Entwurf war.
cd lab
./run.sh
Baut die offizielle sqlite-src-3530400-Amalgamation. Harness ist lab/auth.c. Loopback 127.0.0.1:18840. Authorizer DENY READ t2.x. SELECT x FROM t2 verweigert. SELECT x FROM t1 FULL JOIN t2 USING(x) liefert den Witness, 0 READ t2.x. FULL JOIN ON verweigert. LEFT JOIN USING kein Leak. IGNORE-Baseline ist NULL; IGNORE FULL JOIN USING leakt weiterhin.
SUCCESS sqlite-fj-using-auth how=full-join-using-skip-authread baseline=denied fj-using=witness fj-on=denied left-using=no-leak SQLITE-FJ-USING-AUTH-WITNESS
Schleife sqlite3AuthRead über jedes pFJMatch-Kind nach der coalesce-Umschreibung, so wie es der Trunk 2cb2287768 / Git 5694c3bb für 3.54 tut. Nur a[0] zu autorisieren (bbd69ce274) reicht nicht. LEFT JOIN USING und FULL JOIN ON autorisieren bereits; sie sind nicht dieses Überbleibsel.
b09c88c14082339b66c7b7158d609a771e64ca69)src/resolve.c lookupName coalesce-Umschreibung und AuthRead-Gatesrc/auth.c sqlite3AuthRead / sqlite3AuthReadCol