Sicherheitslücke in SQLite betrifft Tausende Apps – inklusive Chromium-basierte Browser

In der Datenbank-Engine SQLite steckt eine schwerwiegende Sicherheitslücke, die Tausende Desktop-Anwendungen und mobile Apps angreifbar macht. Entdeckt wurde die Anfälligkeit vom Blade-Sicherheitsteam des chinesischen Unternehmens Tencent. Sie erlaubt es einem Angreifer, Schadcode einzuschleusen, oder zumindest Speicherinhalte auszulesen oder einen Absturz einer Anwendung auszulösen.

Den Forschern zufolge lässt sich die Schwachstelle auch aus der Ferne ausnutzen. Ein Opfer muss lediglich auf eine speziell präparierte Website gelockt werden, falls der Browser SQLite und das Web SQL API unterstützt. Letzteres übersetzt den Schadcode in reguläre SQL-Befehle.

Das Web SQL API findet sich vor allem in allen auf Chromium basierenden Browsern, also Google Chrome, Opera, Vivaldi und Brave. Firefox, Internet Explorer und derzeit auch noch Edge sind indes nicht anfällig. Eine Beispiel-Website, die einen Chrome-Tab abstürzen lässt, ist ebenfalls verfügbar.

Tencent betont, dass Angriffe auf Browser zwar leichter umsetzbar, aber auch andere Anwendungen verwundbar sind. Als Beispiel führten die Forscher den intelligenten Lautsprecher Google Home an. „Wir haben Google Home erfolgreich mit dieser Anfälligkeit geknackt“, heißt es in der Sicherheitswarnung von Tencent.

Die SQLite-Entwickler informierten die Forscher bereits im Herbst. Die seit 1. Dezember erhältliche Version SQLite 3.26.0 soll den Fehler beheben. Chromium beziehungsweise Google Chrome enthalten den Fix seit Version 71. Das bedeutet, dass unter anderem die aktuellen Releases von Opera und Brave, die noch nicht auf Chromium 71 umgestellt wurden, angreifbar sind.

Firefox ist zudem zumindest lokal angreifbar. Der Mozilla-Browser verzichtet zwar auf den Support für Web SQL, nutzt jedoch eine lokale SQLite-Datenbank. Die von den Forschern bereitgestellte Test-Website hat also keine Auswirkung auf Firefox – ein Hacker mit physischem Zugriff auf einen Rechner, auf dem Firefox installiert ist, könnte trotzdem Schadcode einschleusen.

Der Check-Point-Forscher Eyal Itkin weist darauf hin, dass Anwendungen nur dann betroffen sind, falls Hacker beliebige SQL-Befehle ausführen können, um die Datenbank zu beschädigen und die eigentliche Schwachstelle auszunutzen. Trotzdem dürfte es einige Zeit dauern, bis alle angreifbaren Anwendungen gepatcht wurden. Entwickler aktualisieren oftmals nämlich nur sehr selten von ihnen genutzte Open-Source-Bibliotheken. Außerdem kann ein Update für eine Datenbank-Engine die eigentliche Datenbank beschädigen – ein Risiko, das Entwickler gerne meiden.