abraxas/sqlite-wal-pagesizeSQLite 3.53.4 - 높음 - 로컬 - 정보 유출 - WAL/DB 페이지 크기 불일치로 인한 초기화되지 않은 페이지 꼬리
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · sqlite-wal-pagesize
분류: 정보 유출 도달 범위: 로컬
SQLite 3.53.4(b09c88c)는 여전히 WAL 프레임을 꼬리 부분의 memset 없이 전체 pager 페이지로 short-read한다. walIndexRecover는 [512, SQLITE_MAX_PAGE_SIZE] 범위의 2의 거듭제곱 WAL 페이지 크기를 모두 허용하며, 이를 데이터베이스 페이지 크기와 비교하지 않는다. 재활용된 pcache 슬롯은 이후 일반 SQL을 통해 이전 힙/페이지 바이트를 반환한다.
실험실: 4096 페이지 WAL 모드 .db, 형제 -wal 헤더 페이지 크기 512, SELECT b FROM t가 2000바이트를 반환했다. 512바이트 프레임을 넘어선 꼬리 부분은 SQLITE-WAL-PAGESIZE-WITNESS였다. RCE는 아니다.
| ID | 아직 CVE 없음 |
| 분류 | 정보 유출 (SQL을 통한 초기화되지 않은 pager 꼬리) |
| 도달 범위 | 로컬 (신뢰할 수 없는 .db와 형제 -wal) |
| CWE | CWE-908, CWE-200 |
| CVSS | 높음: 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| 제품 | SQLite (Hwaci) |
| 영향받는 버전 | 3.53.4 (b09c88c14082339b66c7b7158d609a771e64ca69); SOURCE_ID 2026-07-24 19:02:57 bf7c7f30031888f4e796e429ab3978879485813aaca6f641c7b33e4e09459bcc |
| 인증 | 없음 (피해자가 공격자 파일을 엽니다) |
| 라이선스 | GNU Affero GPL v3.0 |
| 실험실 | 127.0.0.1:18830 전용 |
WAL 모드 .db와, 헤더 페이지 크기가 데이터베이스보다 작은 유효한 2의 거듭제곱인 형제 -wal을 함께 전달한다. 복구가 이를 받아들인다. sqlite3WalReadFrame은 WAL 프레임 크기만큼만 .db에서 크기가 정해진 pager 버퍼로 복사한다. 해당 프레임보다 큰 페이로드를 주장하는 테이블 리프 셀은 재활용된 pcache 꼬리에서 충족된다. 그 blob에 대한 SELECT / substr() / hex()는 같은 프로세스 내 이전 페이지의 남은 pager/힙 바이트를 반환한다.
반대 방향의 불일치(WAL이 pager보다 큰 경우)는 체크포인트 시 SQLITE_CORRUPT이다. 이 잔여물은 더 작은 WAL 읽기 경로에만 해당한다. RCE는 아니다.
이후 트렁크 잔여물 매트릭스 이후 3.53.4를 스무 번 소스 헌팅했다. Winter가 포럼에 2026-08-17T15:54:41Z로 보고했다. 트렁크 f9b4ee3695 / branch-3.53 4fde87b2a0(2026-08-16)은 이 GA(2026-07-24) 이후이다. 이 핀에서 sqlite3WalReadFrame은 여전히 (nOut>sz ? sz : nOut)이며 꼬리 부분의 memset이 없다.
잘못된 방향: 초기 리프 셀이 잘못되어 SELECT가 SQLITE_CORRUPT rc=11을 반환했다. 작동하는 셀은 4096바이트 pager 페이지에서 512바이트 프레임을 가로질러 2000바이트의 로컬 페이로드를 주장한다.
cd lab
./run.sh
정식 소스 zip에서 SQLite 3.53.4를 빌드한다. Compose sqlite-wal-pagesize. 게시 127.0.0.1:18830. 48x4000바이트 witness 행으로 pcache를 프라이밍한 다음, short-read 리프에서 SELECT b FROM t를 실행한다.
SUCCESS sqlite-wal-pagesize how=wal-shortread-pcache-tail len=2000 rootpage=2 SQLITE-WAL-PAGESIZE-WITNESS
복구 중 WAL 헤더 페이지 크기를 데이터베이스 페이지 크기와 비교한다. 둘이 다르면 WAL을 거부하거나 pager 페이지를 완전히 초기화한다:
if( nOut>sz ){
memset(pOut+sz, 0, nOut-sz);
nOut = sz;
}
이 hunk는 이 GA 이후 트렁크에 있다. 3.53.4에는 없다.
b09c88c14082339b66c7b7158d609a771e64ca69)src/wal.c sqlite3WalReadFrame, walIndexRecoversrc/pager.c readDbPage