Datenbank: Fehler in SQLite ermöglichte Codeausführung

Anwendungen, die SQLite einsetzen und von außen SQL-Zugriff darauf bieten, sind offenbar von einem Fehler betroffen, der eine beliebige Codeausführung ermöglicht. Dazu gehören unter anderem Browser auf Chromium-Basis, für die inzwischen Updates bereitstehen.

Artikel veröffentlicht am ,
SQLite soll leicht sein wie ein Feder und nutzt die Feder deshalb als Logo.
SQLite soll leicht sein wie ein Feder und nutzt die Feder deshalb als Logo. (Bild: Jeremy Keith/CC-BY 2.0)

Die freie Datenbank SQLite ist unter anderem wegen ihrer vergleichsweise geringen Größe und der Möglichkeit, das Programm leicht in eine eigene Anwendung zu integrieren, sehr weit verbreitet. Die Sicherheitsabteilung des IT-Unternehmens Tencent weist nun auf einen Fehler in SQLite hin, der unter Umständen eine beliebige Codeausführung ermöglicht. Davon betroffen sein sollen unter vor allem Browser auf Chromium-Basis, wie Googles Chrome, Vivaldi, Opera oder andere, für die aber inzwischen Patches bereitstehen.

Stellenmarkt
  1. (Senior) Mobile Developer (m/w/d) Android und iOS
    AUSY Technologies Germany AG, verschiedene Standorte
  2. E-Learning Spezialist (m/w/d)
    Big Dutchman International GmbH, Vechta
Detailsuche

Mit konkreten Details zu der Sicherheitslücke hält sich das Unternehmen zwar noch zurück, in Foren wie zum Beispiel Hackernews (Ycombinator) finden sich allerdings einige weiterführende Informationen. Demnach handelt es sich bei der Lücke selbst um einen Integer-Overflow in dem Code zum Umgang mit FTS3, wobei es sich um eine Erweiterung für virtuelle Tabellen handelt. Dieser Overflow kann von Angreifern letztlich weiter ausgenutzt werden, um Codeausführung zu erhalten.

Das Team von SQLite hat den Fehler bereits in Version 3.25.3 behoben und den Schutz hierfür in der aktuellen Version 3.26 nochmals verbessert. Betroffen von der Lücke sind darüber hinaus wohl nur jene Anwendungen, die Angreifern die Möglichkeit zum Ausführen beliebiger SQL-Aufrufe ermöglicht, statt SQLite lediglich intern zu verwenden. Wie erwähnt gehören dazu Browser auf Basis von Chromium, das mit WebSQL eine besonders einfache Möglichkeit dazu bietet. Das gilt laut Tencent wohl auch für IoT-Geräte mit integriertem Browser wie etwa Google Home.

Das Chromium-Team hat seinen Browser inzwischen aktualisiert und eine aktuelle Version von SQLite integriert. In der aktuellen Version 71 von Chrome beziehungsweise Chromium, die Anfang Dezember erschienen ist, ist der Fehler schon behoben. Für darauf aufbauende Browser sollten Updates ebenso bereits verfügbar sein oder demnächst folgen. So basiert die stabile Version von Opera etwa noch auf der Chromium-Version 70.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Framework Laptop im Hardware-Test
Schrauber aller Länder, vereinigt euch!

Der modulare Framework Laptop ist ein wahrgewordener Basteltraum. Und unsere Begeisterung für das, was damit alles möglich ist, lässt sich nur schwer bändigen.
Ein Test von Oliver Nickel und Sebastian Grüner

Framework Laptop im Hardware-Test: Schrauber aller Länder, vereinigt euch!
Artikel
  1. EU-Kommission: Von der Leyens intransparenter Umgang mit SMS
    EU-Kommission
    Von der Leyens intransparenter Umgang mit SMS

    Per SMS soll von der Leyen einen Milliardendeal mit Pfizer ausgehandelt haben. Doch die SMS will sie nicht herausgeben - obwohl sie müsste.

  2. 5.000 Dollar Belohnung: Elon Musk wollte Twitter-Konto von 19-Jährigem stilllegen
    5.000 Dollar Belohnung
    Elon Musk wollte Twitter-Konto von 19-Jährigem stilllegen

    Tesla-Chef Elon Musk bot einem US-Teenager jüngst angeblich 5.000 US-Dollar, damit der seinen auf Twitter betriebenen Flight-Tracker einstellt.

  3. Rohstoffe: Lithiumkarbonat für über 50 Euro/kg gefährdet Akkupreise
    Rohstoffe
    Lithiumkarbonat für über 50 Euro/kg gefährdet Akkupreise

    Die Lithiumknappheit treibt Kosten für Akkuhersteller in die Höhe und lässt Alternativen attraktiver werden.
    Eine Analyse von Frank Wunderlich-Pfeiffer

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Alternate (u.a. HP Omen 25i 165 Hz 184,90€) • MindStar (u.a. Patriot Viper VPN100 1 TB 99€) • HyperX Streamer Starter Set 67€ • WD BLACK P10 Game Drive 5 TB 111€ • Trust GXT 38 35,99€ • RTX 3080 12GB 1.499€ • PS5 Digital mit o2-Vertrag bestellbar • Prime-Filme für je 0,99€ leihen [Werbung]
    •  /