Sicherheitslücke in SQLite betrifft Tausende Apps – inklusive Chromium-basierte Browser

In der Datenbank-Engine SQLite steckt eine schwerwiegende Sicherheitslücke, die Tausende Desktop-Anwendungen und mobile Apps angreifbar macht. Entdeckt wurde die Anfälligkeit vom Blade-Sicherheitsteam des chinesischen Unternehmens Tencent. Sie erlaubt es einem Angreifer, Schadcode einzuschleusen, oder zumindest Speicherinhalte auszulesen oder einen Absturz einer Anwendung auszulösen.

Den Forschern zufolge lässt sich die Schwachstelle auch aus der Ferne ausnutzen. Ein Opfer muss lediglich auf eine speziell präparierte Website gelockt werden, falls der Browser SQLite und das Web SQL API unterstützt. Letzteres übersetzt den Schadcode in reguläre SQL-Befehle.

Das Web SQL API findet sich vor allem in allen auf Chromium basierenden Browsern, also Google Chrome, Opera, Vivaldi und Brave. Firefox, Internet Explorer und derzeit auch noch Edge sind indes nicht anfällig. Eine Beispiel-Website, die einen Chrome-Tab abstürzen lässt, ist ebenfalls verfügbar.

Tencent betont, dass Angriffe auf Browser zwar leichter umsetzbar, aber auch andere Anwendungen verwundbar sind. Als Beispiel führten die Forscher den intelligenten Lautsprecher Google Home an. „Wir haben Google Home erfolgreich mit dieser Anfälligkeit geknackt“, heißt es in der Sicherheitswarnung von Tencent.

Die SQLite-Entwickler informierten die Forscher bereits im Herbst. Die seit 1. Dezember erhältliche Version SQLite 3.26.0 soll den Fehler beheben. Chromium beziehungsweise Google Chrome enthalten den Fix seit Version 71. Das bedeutet, dass unter anderem die aktuellen Releases von Opera und Brave, die noch nicht auf Chromium 71 umgestellt wurden, angreifbar sind.

Firefox ist zudem zumindest lokal angreifbar. Der Mozilla-Browser verzichtet zwar auf den Support für Web SQL, nutzt jedoch eine lokale SQLite-Datenbank. Die von den Forschern bereitgestellte Test-Website hat also keine Auswirkung auf Firefox – ein Hacker mit physischem Zugriff auf einen Rechner, auf dem Firefox installiert ist, könnte trotzdem Schadcode einschleusen.

Der Check-Point-Forscher Eyal Itkin weist darauf hin, dass Anwendungen nur dann betroffen sind, falls Hacker beliebige SQL-Befehle ausführen können, um die Datenbank zu beschädigen und die eigentliche Schwachstelle auszunutzen. Trotzdem dürfte es einige Zeit dauern, bis alle angreifbaren Anwendungen gepatcht wurden. Entwickler aktualisieren oftmals nämlich nur sehr selten von ihnen genutzte Open-Source-Bibliotheken. Außerdem kann ein Update für eine Datenbank-Engine die eigentliche Datenbank beschädigen – ein Risiko, das Entwickler gerne meiden.

HIGHLIGHT

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

So optimiert Preisüberwachung Ihre Gewinnmargen im Online-Handel

Die Transparenz der Preise ist im Online-Handel zu einer unangenehmen Herausforderung geworden. Mit nur wenigen…

3 Stunden ago

T-Systems launcht AI Foundation Services

Services stellen private und sichere Entwicklungs-, Test- und Produktionsumgebung bereit, die strengste Anforderungen an Datensicherheit…

4 Stunden ago

Februar-Patchday: Microsoft schließt Zero-Day-Lücken in Windows

Mindestens zwei Anfälligkeiten werden bereits aktiv angegriffen. Betroffen sind alle unterstützten Versionen von Windows und…

6 Stunden ago

Apple schließt Zero-Day-Lücke in iOS und iPadOS

Betroffen sind alle unterstützten iPhones und iPads sowie ältere Modelle. Apple bezeichnet die Angriffe als…

21 Stunden ago

Umfrage: Datensicherheit mit Geschäftszielen nur schwer vereinbar

Nur 14 Prozent der SRM-Führungskräfte erreichen einen wirkungsvollen Schutz und ermöglichen dabei eine Datennutzung zur…

23 Stunden ago

Facebook-Phishing-Kampagne zielt auf Unternehmen ab

Die Phishing-Nachrichten verteilen die Cyberkriminellen über eine Marketing-Tool von Salesforce. Unternehmen werden darin Urheberrechtsverletzungen auf…

1 Tag ago