Krytyczna podatność w SQLite – można przejąć Chrome, urządzenia IoT, masę innych aplikacji

Zanim zaczniecie czytać – zaktualizujcie Chrome do wersji 71. A teraz konkrety.

Opis problemu jest tutaj. Na początek ekipa przygotowała exploita umożliwiającego wykonanie dowolnego kodu w Chrome poprzez Web SQL API. Czyli w skrócie – odpowiednio przygotowana strona może zapisać swoje dane w lokalnej bazie SQL (w Chrome). Ta baza to po prostu SQLite. Z kolei w SQLite mamy podatność, która umożliwia na wykonanie dowolnego kodu na poziomie systemu operacyjnego.

Co jest wymagane do wykorzystania podatności? Prawdopodobnie możliwość zadawania +- dowolnych zapytań do bazy (takie założenie spełnione jest na przeglądarkach bazujących na Chromium), ale w ramach badań udało się też przygotować exploita na urządzenie Google Home.

Jeśli używacie SQLite w swoich projektach, aplikacjach, zaktualizujcie go co najmniej do wersji 3.26.0, która łata problem.

Temat też może być o tyle ciekawy, że często nawet nie wiemy że SQLite działa „pod spodem”. Przykłady? Proszę:

Apple uses SQLite in many (most?) of the native applications running on Mac OS-X desktops and servers and on iOS devices such as iPhones and iPods. SQLite is also used in iTunes, even on non-Apple hardware.

The increasingly popular Dropbox file archiving and synchronization service is reported to use SQLite as the primary data store on the client side.

i tak dalej

–ms