Sicherheitslücke in SQLite betrifft Tausende Apps – inklusive Chromium-basierte Browser

In der Datenbank-Engine SQLite steckt eine schwerwiegende Sicherheitslücke, die Tausende Desktop-Anwendungen und mobile Apps angreifbar macht. Entdeckt wurde die Anfälligkeit vom Blade-Sicherheitsteam des chinesischen Unternehmens Tencent. Sie erlaubt es einem Angreifer, Schadcode einzuschleusen, oder zumindest Speicherinhalte auszulesen oder einen Absturz einer Anwendung auszulösen.

Den Forschern zufolge lässt sich die Schwachstelle auch aus der Ferne ausnutzen. Ein Opfer muss lediglich auf eine speziell präparierte Website gelockt werden, falls der Browser SQLite und das Web SQL API unterstützt. Letzteres übersetzt den Schadcode in reguläre SQL-Befehle.

Das Web SQL API findet sich vor allem in allen auf Chromium basierenden Browsern, also Google Chrome, Opera, Vivaldi und Brave. Firefox, Internet Explorer und derzeit auch noch Edge sind indes nicht anfällig. Eine Beispiel-Website, die einen Chrome-Tab abstürzen lässt, ist ebenfalls verfügbar.

Tencent betont, dass Angriffe auf Browser zwar leichter umsetzbar, aber auch andere Anwendungen verwundbar sind. Als Beispiel führten die Forscher den intelligenten Lautsprecher Google Home an. „Wir haben Google Home erfolgreich mit dieser Anfälligkeit geknackt“, heißt es in der Sicherheitswarnung von Tencent.

Die SQLite-Entwickler informierten die Forscher bereits im Herbst. Die seit 1. Dezember erhältliche Version SQLite 3.26.0 soll den Fehler beheben. Chromium beziehungsweise Google Chrome enthalten den Fix seit Version 71. Das bedeutet, dass unter anderem die aktuellen Releases von Opera und Brave, die noch nicht auf Chromium 71 umgestellt wurden, angreifbar sind.

Firefox ist zudem zumindest lokal angreifbar. Der Mozilla-Browser verzichtet zwar auf den Support für Web SQL, nutzt jedoch eine lokale SQLite-Datenbank. Die von den Forschern bereitgestellte Test-Website hat also keine Auswirkung auf Firefox – ein Hacker mit physischem Zugriff auf einen Rechner, auf dem Firefox installiert ist, könnte trotzdem Schadcode einschleusen.

Der Check-Point-Forscher Eyal Itkin weist darauf hin, dass Anwendungen nur dann betroffen sind, falls Hacker beliebige SQL-Befehle ausführen können, um die Datenbank zu beschädigen und die eigentliche Schwachstelle auszunutzen. Trotzdem dürfte es einige Zeit dauern, bis alle angreifbaren Anwendungen gepatcht wurden. Entwickler aktualisieren oftmals nämlich nur sehr selten von ihnen genutzte Open-Source-Bibliotheken. Außerdem kann ein Update für eine Datenbank-Engine die eigentliche Datenbank beschädigen – ein Risiko, das Entwickler gerne meiden.

HIGHLIGHT

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

UPDF: PDF-Software zu einem Viertel des Preises von Adobe

PDF-Bearbeitungssoftware jetzt im Black Friday Sale mit 50 Prozent Rabatt!

8 Stunden ago

Neuer Bedarf an Workplace Services durch DEX und KI

ISG untersucht deutschen Workplace-Services-Markt. Digital Employee Experience (DEX) gilt als Schlüssel für neues Wachstum.

8 Stunden ago

SEO-Beratung von Spezialisten wie WOXOW: Deshalb wird sie immer wichtiger

Wer bei Google mit den passenden Suchbegriffen nicht in den Top-Rankings gefunden wird, der kann…

1 Tag ago

Umfrage: Weniger als die Hälfte der digitalen Initiativen sind erfolgreich

Unternehmen räumen der Entwicklung technischer und digitaler Führungskompetenzen ein zu geringe Priorität ein. Gartner fordert…

1 Tag ago

Google schließt zwei Zero-Day-Lücken in Android

Betroffen sind Android 12, 13, 14 und 15. Google sind zielgerichtete Angriffe auf die beiden…

2 Tagen ago

Gefährliche Weiterentwicklung der APT36-Malware ElizaRAT

Schadprogramm der pakistanischen Hackergruppe APT36 weitet seine Aktivitäten aus und verbessert seine Techniken.

2 Tagen ago