Fa'aletonu ile SQLite e mafai ai osofa'iga mamao ile Chrome e ala ile WebSQL

Tagata suʻesuʻe saogalemu mai le kamupani Saina Tencent tuuina atu suiga fou vaivai Magellan (CVE-2019-13734), lea e mafai ai e oe ona ausia le faʻatinoina o tulafono pe a faʻaogaina faufale SQL fuafuaina i se auala patino i le SQLite DBMS. Sa i ai se tulaga vaivai faapena lomia e le au suʻesuʻe lava e tasi i le tausaga talu ai. E iloga le fa'aletonu ona e mafai ai e se tasi ona osofa'ia mamao le Chrome browser ma maua ai le fa'atonuina o le faiga a le tagata fa'aoga pe a tatalaina itulau uepi e pulea e le tagata osofa'i.

O le osofaʻiga i Chrome / Chromium o loʻo faʻatinoina e ala i le WebSQL API, o le faʻatautaia e faʻavae i luga ole code SQLite. O se osofaʻiga i isi talosaga e naʻo le mafai pe afai latou te faʻatagaina le fesiitaiga o SQL constructs e sau mai fafo i SQLite, mo se faʻataʻitaʻiga, latou te faʻaogaina le SQLite e fai ma faʻasologa mo le fesuiaiga o faʻamatalaga. Firefox e le afaina ona o Mozilla musu mai le faʻatinoga a le WebSQL manuia IndexedDB API.

Google na faʻaleleia le mataupu ile faʻamalolo Chrome 79. Sa i ai se faʻafitauli i le SQLite codebase mautu Novema 17, ma i le Chromium codebase - 21 Novema.
O lo'o iai le fa'afitauli i totonu numera FTS3 afi su'esu'e atoa ma ala i le fa'aogaina o laulau paolo (se ituaiga fa'apitoa o le laulau fa'apitoa e mafai ona tusitusi) e mafai ona ta'ita'iina ai le fa'ailoga pi'opi'o ma fa'amama pa'u. O fa'amatalaga au'ili'ili ile faiga ole fa'agaioiga ole a fa'asalalauina pe a uma le 90 aso.

Fa'asao fou SQLite ma fa'aleleia mo le taimi nei le faia (faamoemoeina 31 Tesema). I le avea ai o se puipuiga malu, e amata mai i le SQLite 3.26.0, e mafai ona faʻaogaina le SQLITE_DBCONFIG_DEFENSIVE mode, lea e faʻagata ai le tusitusi i laulau paolo ma fautuaina mo le faʻaofiina pe a faʻaogaina fesili SQL i fafo i SQLite. I pusa tufatufa, o le faʻafitauli i totonu o le faletusi SQLite e tumau pea le le faʻaogaina Debian, Ubuntu, RHEL, openSUSE / SUSE, Arch Linux, Fedora, FreeBSD. Chromium i tufatufaga uma ua uma ona faʻafouina ma e le o aʻafia i le faʻafitauli, ae o le faʻafitauli e ono aʻafia ai isi suʻesuʻega lona tolu ma talosaga e faʻaogaina le masini Chromium, faʻapea foʻi ma talosaga Android e faʻavae i luga ole Webview.

E le gata i lea, e 4 faʻafitauli faʻalavelave mataʻutia ua faʻaalia foi i SQLite (CVE-2019-13750, CVE-2019-13751, CVE-2019-13752, CVE-2019-13753), lea e mafai ona taʻitaʻia ai faʻamatalaga faʻamatalaga ma le faʻaogaina o tapulaʻa (e mafai ona faʻaaogaina e fai ma mafuaʻaga mo se osofaʻiga i Chrome). O nei mataupu na faʻamauina i le SQLite code i le aso 13 o Tesema. Faʻatasi, o faʻafitauli na mafai ai e le au suʻesuʻe ona saunia se faʻaoga galue e mafai ai ona faʻatinoina le code i le tulaga o le Chromium process e nafa ma le tuʻuina atu.

puna: opennet.ru

Faaopoopo i ai se faamatalaga