Abo
  • IT-Karriere:

Datenbank: Fehler in SQLite ermöglichte Codeausführung

Anwendungen, die SQLite einsetzen und von außen SQL-Zugriff darauf bieten, sind offenbar von einem Fehler betroffen, der eine beliebige Codeausführung ermöglicht. Dazu gehören unter anderem Browser auf Chromium-Basis, für die inzwischen Updates bereitstehen.

Artikel veröffentlicht am ,
SQLite soll leicht sein wie ein Feder und nutzt die Feder deshalb als Logo.
SQLite soll leicht sein wie ein Feder und nutzt die Feder deshalb als Logo. (Bild: Jeremy Keith/CC-BY 2.0)

Die freie Datenbank SQLite ist unter anderem wegen ihrer vergleichsweise geringen Größe und der Möglichkeit, das Programm leicht in eine eigene Anwendung zu integrieren, sehr weit verbreitet. Die Sicherheitsabteilung des IT-Unternehmens Tencent weist nun auf einen Fehler in SQLite hin, der unter Umständen eine beliebige Codeausführung ermöglicht. Davon betroffen sein sollen unter vor allem Browser auf Chromium-Basis, wie Googles Chrome, Vivaldi, Opera oder andere, für die aber inzwischen Patches bereitstehen.

Stellenmarkt
  1. EnBW Energie Baden-Württemberg AG Holding, Karlsruhe
  2. MBDA Deutschland, Schrobenhausen

Mit konkreten Details zu der Sicherheitslücke hält sich das Unternehmen zwar noch zurück, in Foren wie zum Beispiel Hackernews (Ycombinator) finden sich allerdings einige weiterführende Informationen. Demnach handelt es sich bei der Lücke selbst um einen Integer-Overflow in dem Code zum Umgang mit FTS3, wobei es sich um eine Erweiterung für virtuelle Tabellen handelt. Dieser Overflow kann von Angreifern letztlich weiter ausgenutzt werden, um Codeausführung zu erhalten.

Das Team von SQLite hat den Fehler bereits in Version 3.25.3 behoben und den Schutz hierfür in der aktuellen Version 3.26 nochmals verbessert. Betroffen von der Lücke sind darüber hinaus wohl nur jene Anwendungen, die Angreifern die Möglichkeit zum Ausführen beliebiger SQL-Aufrufe ermöglicht, statt SQLite lediglich intern zu verwenden. Wie erwähnt gehören dazu Browser auf Basis von Chromium, das mit WebSQL eine besonders einfache Möglichkeit dazu bietet. Das gilt laut Tencent wohl auch für IoT-Geräte mit integriertem Browser wie etwa Google Home.

Das Chromium-Team hat seinen Browser inzwischen aktualisiert und eine aktuelle Version von SQLite integriert. In der aktuellen Version 71 von Chrome beziehungsweise Chromium, die Anfang Dezember erschienen ist, ist der Fehler schon behoben. Für darauf aufbauende Browser sollten Updates ebenso bereits verfügbar sein oder demnächst folgen. So basiert die stabile Version von Opera etwa noch auf der Chromium-Version 70.



Anzeige
Spiele-Angebote
  1. (-76%) 8,99€
  2. 2,99€
  3. 2,40€
  4. 0,00€

Airblader 17. Dez 2018

Das ist letztlich auch nicht anders als localStorage oder IndexedDB. Es ist eine...

TC 17. Dez 2018

Da gibts wohl für die meisten kein Update

bionade24 17. Dez 2018

kwT


Folgen Sie uns
       


Speedport Pro - Test

Der Speedport Pro ist gerade im WLAN verglichen mit dem älteren Speedport Hybrid eine Verbesserung. Allerdings zeigt sich in unserem Test auch, dass die maximale Datenrate nicht steigt. Eher das Gegenteil ist der Fall.

Speedport Pro - Test Video aufrufen
Bundestagsanhörung: Beim NetzDG drohen erste Bußgelder
Bundestagsanhörung
Beim NetzDG drohen erste Bußgelder

Aufgrund des Netzwerkdurchsetzungsgesetzes laufen mittlerweile über 70 Verfahren gegen Betreiber sozialer Netzwerke. Das erklärte der zuständige Behördenchef bei einer Anhörung im Bundestag. Die Regeln gegen Hass und Hetze auf Facebook & Co. entzweien nach wie vor die Expertenwelt.
Ein Bericht von Justus Staufburg

  1. NetzDG Grüne halten Löschberichte für "trügerisch unspektakulär"
  2. NetzDG Justizministerium sieht Gesetz gegen Hass im Netz als Erfolg
  3. Virtuelles Hausrecht Facebook muss beim Löschen Meinungsfreiheit beachten

Sicherheitslücken: Zombieload in Intel-Prozessoren
Sicherheitslücken
Zombieload in Intel-Prozessoren

Forscher haben weitere Seitenkanalangriffe auf Intel-Prozessoren entdeckt, die sie Microarchitectural Data Sampling alias Zombieload nennen. Der Hersteller wusste davon und reagiert mit CPU-Revisionen. Apple rät dazu, Hyperthreading abzuschalten - was 40 Prozent Performance kosten kann.
Ein Bericht von Marc Sauter und Sebastian Grüner

  1. Open-Source Technology Summit Intel will moderne Firmware und Rust-VMM für Server
  2. Ice Lake plus Xe-GPGPU Intel erläutert 10-nm- und 7-nm-Zukunft
  3. GPU-Architektur Intels Xe beschleunigt Raytracing in Hardware

Lightyear One: Luxus-Elektroauto fährt auch mit Solarstrom
Lightyear One
Luxus-Elektroauto fährt auch mit Solarstrom

Ein niederländisches Jungunternehmen hat ein ungewöhnliches Fahrzeug entwickelt, das Luxus und Umweltfreundlichkeit kombiniert. Solarzellen auf dem Dach erhöhen die Reichweite um bis zu 220 Kilometer.
Von Wolfgang Kempkens

  1. EZ-Pod Renault-Miniauto soll Stadtverkehr in Kolonne fahren
  2. Elektromobilität EnBW will weitere 2.000 Schnellladepunkte errichten
  3. Elektromobilität Verkehrsminister will Elektroautos länger und mehr fördern

    •  /