Krytyczna luka w SQLite sqldiff.exe umożliwiająca ładowanie złośliwych DLL

Co wiadomo

Narzędzie sqldiff.exe w SQLite nieprawidłowo obsługuje konwersję Unicode na ANSI w środowisku Windows, co pozwala atakującemu na wykorzystanie opcji -L do załadowania dowolnej biblioteki DLL poprzez spreparowany argument wiersza poleceń. Luka została załatana około 26 grudnia 2025 roku.

Wpływ biznesowy

Luka o wysokim poziomie krytyczności (CVSS 9.2) może umożliwić zdalne wykonanie kodu poprzez wstrzyknięcie złośliwej biblioteki DLL, co stanowi poważne zagrożenie dla systemów wykorzystujących sqldiff.exe. Operatorzy IT powinni rozważyć potencjalne ryzyko związane z tym narzędziem, szczególnie w środowiskach Windows, gdzie jest używane.

Rekomendowane działania administratora

Zaleca się jak najszybsze zastosowanie dostępnej poprawki wydanej około 26 grudnia 2025 roku. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz użycie sqldiff.exe do zaufanych środowisk, monitoruj logi systemowe pod kątem podejrzanych wywołań oraz przeglądaj uprawnienia i dostęp do plików DLL. Priorytetyzuj aktualizacje i audyt środowisk Windows, gdzie narzędzie jest wykorzystywane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference