Esitletud on uus SQLite haavatavustega exploitation'i tehnika

Check Pointi teadlased avaldasid tutvustasid DEF CON konverentsil uusi rünnaku meetodeid rakendustele, mis kasutavad haavatavaid SQLite versioone. Check Pointi meetod käsitleb andmebaasifailide võimalust haavatavuste ekspluiteerimise skriptide integreerimiseks erinevatesse SQLite sisealadesse, mis pole otsesele ekspluiteerimisele avatud. Teadlased on välja töötanud ka haavatavuste ekspluiteerimise tehnika, mis kodeerib ekspluudi SQLite andmebaasi SELECT päringute ahelana, võimaldades ASLR-i ületamist.

Edukaks rünnakuks on vajalik, et oleks võimalik manipuleerida rünnatavate rakenduste andmebaasifailidega, mis piirab meetodi kasutamist rakendustele, mis kasutavad SQLite-d andmevormingina vahe- ja sisendandmete jaoks. Meetodit saab rakendada ka juba saadud kohalikku juurdepääsu laiendamiseks, näiteks varjatud tagauksete integreerimiseks kasutatavatesse rakendustesse, samuti turvamehhanismide ületamiseks, mida kasutavad turvauuringud pahavara analüüsimisel. Ekspluateerimine toimib pärast faili asendamist rakenduse esimese SELECT päringu täitmise ajal muudetud andmebaasis.

Näiteks demonstreeriti koodi käivitamise võimalust iOS-is aadressiraamatu avamisel, mille andmebaasifail "AddressBook.sqlitedb" oli muudetud kasutades pakutud meetodit. Rünnakus kasutati haavatavust fts3_tokenizer funktsioonis (CVE-2019-8602, vajadus dereferentsi näitaja), mis parandati SQLite-i aprillikuise uuendusega versioonis 2.28, koos teise haavatavusega akenfunktsioonide teostuses. Lisaks demonstreeriti meetodi rakendamist kaugtaseme juhtimise haaramiseks PHP taustaserveri üle, mis kogus parooli, mis on saadud pahavara käitamise käigus (tabatud paroolid edastati SQLite andmebaasi vormis).

Rünnakumeetod põhineb kahe tehnika, „Query Hijacking“ ja „Query Oriented Programming“, kasutamisel, mis võimaldavad ära kasutada juhuslikke probleeme, mis viivad SQLite mootori mäluhäireteni. „Query Hijacking“ olemus on muutmine sqlite_master süsteemitabeli „sql“ välja sisu, mis määratleb andmebaasi struktuuri. Antud väli sisaldab DDL (Data Definition Language) blokki, mida kasutatakse andmebaasi objektide struktuuri kirjeldamiseks. Kirjeldus antakse tavapärase SQL süntaksi abil, st kasutatakse konstruktsiooni „CREATE TABLE“.
mis täidetakse andmebaasi initsialiseerimise käigus (esmakordsel käivitamisel
funktsiooni sqlite3LocateTable) jaoks, et luua mälus seotud tabeli sisemised struktuurid.

Idee on selles, et, kui asendada „CREATE TABLE“ „CREATE VIEW“ -ga, avaneb võimalus oma vaate määratlemise kaudu kontrollida kõiki andmebaasi päringuid. Kasutades „CREATE VIEW“, seotakse tabeliga „SELECT“ operatsioon, mis kutsub esile „CREATE TABLE“ ja võimaldab pääseda ligi erinevatele SQLite tõlgendaja osadele. Edasi kõige lihtsam rünnak oleks funktsiooni „load_extension“ kutsumine, mis lubab laadida juhusliku laienduse teegi, kuid see funktsioon on vaikimisi keelatud.

Rünnaku sooritamiseks „SELECT“ operatsiooni õiguse korral on välja pakutud tehnika „Query Oriented Programming“, mis võimaldab ära kasutada SQLite'is esinevaid mäluhäirete probleeme. Tehnika meenutab tagasipööratud programmeerimist (ROP, Return-Oriented Programming), kuid kasutab oma väljakutsumisjadade („gadžeteid“) loomisel mitteeksisteerivaid masinkoodi katkeid, vaid süntaksit alamsüette põhjal SELECT-i sees.

Allikas: opennet.ru