Sicherheitslücke in SQLite betrifft Tausende Apps – inklusive Chromium-basierte Browser

In der Datenbank-Engine SQLite steckt eine schwerwiegende Sicherheitslücke, die Tausende Desktop-Anwendungen und mobile Apps angreifbar macht. Entdeckt wurde die Anfälligkeit vom Blade-Sicherheitsteam des chinesischen Unternehmens Tencent. Sie erlaubt es einem Angreifer, Schadcode einzuschleusen, oder zumindest Speicherinhalte auszulesen oder einen Absturz einer Anwendung auszulösen.

Den Forschern zufolge lässt sich die Schwachstelle auch aus der Ferne ausnutzen. Ein Opfer muss lediglich auf eine speziell präparierte Website gelockt werden, falls der Browser SQLite und das Web SQL API unterstützt. Letzteres übersetzt den Schadcode in reguläre SQL-Befehle.

Das Web SQL API findet sich vor allem in allen auf Chromium basierenden Browsern, also Google Chrome, Opera, Vivaldi und Brave. Firefox, Internet Explorer und derzeit auch noch Edge sind indes nicht anfällig. Eine Beispiel-Website, die einen Chrome-Tab abstürzen lässt, ist ebenfalls verfügbar.

Tencent betont, dass Angriffe auf Browser zwar leichter umsetzbar, aber auch andere Anwendungen verwundbar sind. Als Beispiel führten die Forscher den intelligenten Lautsprecher Google Home an. „Wir haben Google Home erfolgreich mit dieser Anfälligkeit geknackt“, heißt es in der Sicherheitswarnung von Tencent.

Die SQLite-Entwickler informierten die Forscher bereits im Herbst. Die seit 1. Dezember erhältliche Version SQLite 3.26.0 soll den Fehler beheben. Chromium beziehungsweise Google Chrome enthalten den Fix seit Version 71. Das bedeutet, dass unter anderem die aktuellen Releases von Opera und Brave, die noch nicht auf Chromium 71 umgestellt wurden, angreifbar sind.

Firefox ist zudem zumindest lokal angreifbar. Der Mozilla-Browser verzichtet zwar auf den Support für Web SQL, nutzt jedoch eine lokale SQLite-Datenbank. Die von den Forschern bereitgestellte Test-Website hat also keine Auswirkung auf Firefox – ein Hacker mit physischem Zugriff auf einen Rechner, auf dem Firefox installiert ist, könnte trotzdem Schadcode einschleusen.

Der Check-Point-Forscher Eyal Itkin weist darauf hin, dass Anwendungen nur dann betroffen sind, falls Hacker beliebige SQL-Befehle ausführen können, um die Datenbank zu beschädigen und die eigentliche Schwachstelle auszunutzen. Trotzdem dürfte es einige Zeit dauern, bis alle angreifbaren Anwendungen gepatcht wurden. Entwickler aktualisieren oftmals nämlich nur sehr selten von ihnen genutzte Open-Source-Bibliotheken. Außerdem kann ein Update für eine Datenbank-Engine die eigentliche Datenbank beschädigen – ein Risiko, das Entwickler gerne meiden.

HIGHLIGHT

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Logitech: Designed for Mac

Logitech startet eine Produktreihe von Mäusen und Tastaturen, die speziell für Apple-Rechner ausgelegt sind unter…

4 Stunden ago

Microsoft Ignite: Spotlight on Germany

Die Microsoft Konferenz Ignite findet in diesem Jahr vom 12. bis 14. Oktober 2022 statt.…

5 Stunden ago

Open Source Initiative weitet ihre Rolle aus

In den letzten 20 Jahren war die Open Source Initiative (OSI) die Hüterin der Open-Source-Lizenzen.…

5 Stunden ago

Intel stellt sich neu auf

Der Chiphersteller Intel setzt seinen Fokus auf neue KI-/ML-Anwendungen, weltweit verteilte Fabriken und eine überarbeitete…

5 Stunden ago

Serverausfall führt zu Insolvenz

Unternehmen sind durch Ausfälle verwundbar. Hybride Infrastrukturen machen den früheren Anker Rechenzentrum überflüssig, betont Andreas…

23 Stunden ago

SSD fördert Green IT

Ökologische Fragen, Lieferkettenprobleme und Energiekosten erfordern Green IT. Bei Storage gibt es Möglichkeiten zum Energiesparen,…

23 Stunden ago