WebSQL ಮೂಲಕ Chrome ನಲ್ಲಿ ರಿಮೋಟ್ ದಾಳಿಯನ್ನು ಅನುಮತಿಸುವ SQLite ನಲ್ಲಿನ ದುರ್ಬಲತೆ

ಚೀನಾದ ಟೆನ್ಸೆಂಟ್ ಕಂಪನಿಯ ಭದ್ರತಾ ಸಂಶೋಧಕರು ಪ್ರಸ್ತುತಪಡಿಸಲಾಗಿದೆ новый вариант уязвимости ಮೆಗೆಲ್ಲಾನ್ (CVE-2019-13734), позволяющей добиться выполнения кода при обработке в СУБД SQLite определённым образом оформленных SQL-конструкций. Похожая уязвимость была ಪ್ರಕಟಿಸಲಾಗಿದೆ теми же исследователями год назад. Уязвимость примечательна тем, что позволяет удалённо атаковать браузер Chrome и добиться получения контроля над системой пользователя при открытии подконтрольных злоумышленнику web-страниц.

Атака на Chrome/Chromium осуществляется через API WebSQL, обработчик которого основывается на коде SQLite. Атака на другие приложения возможна только если они допускают передачу в SQLite SQL-конструкций, поступающих извне, например, используют SQLite в качестве формата для обмена данными. Firefox уязвимости не подвержен, так как компания Mozilla ನಿರಾಕರಿಸಿದರು от реализации WebSQL в ಲಾಭ API IndexedDB.

Google устранил проблему в выпуске Chrome 79. В кодовой базе SQLite проблема была ಸ್ಥಿರ 17 ноября, а в кодовой базе Chromium — 21 ನವೆಂಬರ್.
Проблема присутствует в ಕೋಡ್ движка полнотекстового поиска FTS3 и через манипуляцию с теневыми таблицами (shadow tables, особый вид виртуальных таблиц с возможностью записи) может привести к повреждению индекса и переполнению буфера. Детальная информация о технике эксплуатации будет опубликована через 90 дней.

Новый релиз SQLite с исправлением пока не сформирован (ನಿರೀಕ್ಷಿಸಲಾಗಿದೆ 31 декабря). В качестве обходного пути защиты начиная с SQLite 3.26.0 может использоваться режим SQLITE_DBCONFIG_DEFENSIVE, который запрещает запись в теневые таблицы и рекомендован для включения при обработке внешних SQL-запросов в SQLite. В дистрибутивах уязвимость в библиотеке SQLite пока остаётся неисправленной в ಡೆಬಿಯನ್, ಉಬುಂಟು, rhel, openSUSE / SUSE, ಆರ್ಚ್ ಲಿನಕ್ಸ್, ಫೆಡೋರಾ, ಫ್ರೀಬಿಎಸ್ಡಿ. Chromium во всех дистрибутивах уже обновлён и не подвержен уязвимости, но проблема может охватывать различные сторонние браузеры и приложения, использующие движок Chromium, а также Android-приложения на базе Webview.

Дополнительно в SQLite также выявлены 4 менее опасные проблемы (CVE-2019-13750, CVE-2019-13751, CVE-2019-13752, CVE-2019-13753), которые могут привести к утечке информации и обходу ограничений (могут использоваться как сопутствующие факторы для атаки на Chrome). Указанные проблемы устранены в коде SQLite 13 декабря. В совокупности проблемы позволили исследователям подготовить рабочий эксплоит, позволяющий выполнить код в контексте процесса Chromium, отвечающего за отрисовку.

ಮೂಲ: opennet.ru