abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  sqlite-cte-nest

sqlite-cte-nest

Classe: Crash Reach: Locale

SQLite 3.53.4 (b09c88c14082339b66c7b7158d609a771e64ca69, SOURCE_ID 2026-07-24 19:02:57 bf7c7f30031888f4e796e429ab3978879485813aaca6f641c7b33e4e09459bcc) - Hwaci

sqlite3ResultSetOfSelect incrementa nNestSel e restituisce l'errore VIEWs and/or subqueries nested too deep quando la catena raggiunge SQLITE_LIMIT_EXPR_DEPTH. Le VIEW annidate su questa versione raggiungono già quel limite. L'aggancio delle CTE in select.c:5754 (sqlite3SrcItemAttachSubquery) non incrementa nNestSel. selectExpander / sqlite3WalkSelect ricorrono quindi sulla catena di CTE finché lo stack C non collassa.

Una piccola catena di CTE restituisce una riga. Un FROM annidato a N=25000 è un Recursion limit del parser e non causa il crash. Le VIEW annidate con .limit expr_depth 20 restituiscono l'errore too-deep. Una CTE con N=25000 è un ASan stack-overflow. Non è RCE.

ID	nessuna CVE al momento
Classe	Crash (ASan stack-overflow in selectExpander; RCE non dimostrata)
Reach	Locale (SQL non attendibile o schema con CTE annidate)
CWE	CWE-674
CVSS	High: 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Prodotto	SQLite (mirror GitHub sqlite/sqlite)
Affetto	3.53.4 (b09c88c); residuo del successivo nNestSel per CTE nel trunk
Auth	SQL non attendibile o una catena WITH inserita ad arte
Licenza	GNU Affero GPL v3.0
Lab	solo 127.0.0.1:18810. Amalgamation ASan. Crash witness.

Cosa può fare un attaccante

Fornire una lunga catena di CTE, come SQL o come corpo di una VIEW su un .db non attendibile:

WITH c0 AS (SELECT 1),
     c1 AS (SELECT * FROM c0),
     ...
     cN AS (SELECT * FROM cN-1)
SELECT * FROM cN;

selectExpander percorre ogni CTE come una sottoquery FROM annidata. nNestSel non si muove mai. Il processo host muore sullo stack C. Le VIEW annidate sono già limitate. Il FROM annidato raggiunge il limite di ricorsione del parser. Questo residuo è il percorso di aggancio delle CTE. SQLite non valuta i nomi delle CTE in una shell. Crash, non RCE.

Come l'ho trovato

Venti ricerche nel sorgente di https://github.com/sqlite/sqlite tag https://github.com/sqlite/sqlite/releases/tag/version-3.53.4. Le VIEW annidate erano limitate su questa versione (3f3fb9b638 / branch-3.53 38430aa5ed, 2026-06-16). L'aggancio delle CTE non lo era. Il trunk f547308713 (2026-10-05) è successivo a questa GA.

Vicoli ciechi già registrati: trattare le VIEW annidate come il crash (restituiscono l'errore too-deep); trattare il FROM annidato N=25000 come il crash (Recursion limit del parser); prendere una catena di 5 CTE come prova che il limite si applica.

Lab

cd lab
./run.sh

Zip ufficiale sqlite-src-3530400, amalgamation ASan, compose sqlite-cte-nest, pubblicato su 127.0.0.1:18810. Associalo al loopback. Non puntare questo strumento verso la SQLite di qualcun altro.

SUCCESS sqlite-cte-nest how=asan-stack-overflow crash-n=25000 small-cte=ok nested-views=too-deep nested-from=rejected SQLITE-CTE-NEST-WITNESS

La correzione

Incrementare nNestSel all'aggancio delle CTE come già fa sqlite3ResultSetOfSelect per le VIEW, e restituire l'errore a SQLITE_LIMIT_EXPR_DEPTH. Il trunk f547308713 (2026-10-05, "Limit the depth of recursion for CTEs using SQLITE_LIMIT_EXPR_DEPTH") è quella classe di patch. Non è presente nella 3.53.4.

Riferimenti

• https://github.com/sqlite/sqlite tag https://github.com/sqlite/sqlite/releases/tag/version-3.53.4 (b09c88c14082339b66c7b7158d609a771e64ca69)
• Canonico https://sqlite.org/src SOURCE_ID 2026-07-24 19:02:57 bf7c7f30031888f4e796e429ab3978879485813aaca6f641c7b33e4e09459bcc
• src/select.c sqlite3ResultSetOfSelect (nNestSel++), aggancio CTE :5754
• src/walker.c sqlite3WalkSelectFrom walk delle sottoquery
• selectExpander / sqlite3SelectExpand
• Bug del forum 2026-10-04T04:58:58Z; trunk f547308713