• IT-Karriere:
  • Services:

Datenbank: Fehler in SQLite ermöglichte Codeausführung

Anwendungen, die SQLite einsetzen und von außen SQL-Zugriff darauf bieten, sind offenbar von einem Fehler betroffen, der eine beliebige Codeausführung ermöglicht. Dazu gehören unter anderem Browser auf Chromium-Basis, für die inzwischen Updates bereitstehen.

Artikel veröffentlicht am ,
SQLite soll leicht sein wie ein Feder und nutzt die Feder deshalb als Logo.
SQLite soll leicht sein wie ein Feder und nutzt die Feder deshalb als Logo. (Bild: Jeremy Keith/CC-BY 2.0)

Die freie Datenbank SQLite ist unter anderem wegen ihrer vergleichsweise geringen Größe und der Möglichkeit, das Programm leicht in eine eigene Anwendung zu integrieren, sehr weit verbreitet. Die Sicherheitsabteilung des IT-Unternehmens Tencent weist nun auf einen Fehler in SQLite hin, der unter Umständen eine beliebige Codeausführung ermöglicht. Davon betroffen sein sollen unter vor allem Browser auf Chromium-Basis, wie Googles Chrome, Vivaldi, Opera oder andere, für die aber inzwischen Patches bereitstehen.

Stellenmarkt
  1. Hamamatsu Photonics Deutschland GmbH, Herrsching am Ammersee
  2. CITTI Handelsgesellschaft mbH & Co. KG, Kiel

Mit konkreten Details zu der Sicherheitslücke hält sich das Unternehmen zwar noch zurück, in Foren wie zum Beispiel Hackernews (Ycombinator) finden sich allerdings einige weiterführende Informationen. Demnach handelt es sich bei der Lücke selbst um einen Integer-Overflow in dem Code zum Umgang mit FTS3, wobei es sich um eine Erweiterung für virtuelle Tabellen handelt. Dieser Overflow kann von Angreifern letztlich weiter ausgenutzt werden, um Codeausführung zu erhalten.

Das Team von SQLite hat den Fehler bereits in Version 3.25.3 behoben und den Schutz hierfür in der aktuellen Version 3.26 nochmals verbessert. Betroffen von der Lücke sind darüber hinaus wohl nur jene Anwendungen, die Angreifern die Möglichkeit zum Ausführen beliebiger SQL-Aufrufe ermöglicht, statt SQLite lediglich intern zu verwenden. Wie erwähnt gehören dazu Browser auf Basis von Chromium, das mit WebSQL eine besonders einfache Möglichkeit dazu bietet. Das gilt laut Tencent wohl auch für IoT-Geräte mit integriertem Browser wie etwa Google Home.

Das Chromium-Team hat seinen Browser inzwischen aktualisiert und eine aktuelle Version von SQLite integriert. In der aktuellen Version 71 von Chrome beziehungsweise Chromium, die Anfang Dezember erschienen ist, ist der Fehler schon behoben. Für darauf aufbauende Browser sollten Updates ebenso bereits verfügbar sein oder demnächst folgen. So basiert die stabile Version von Opera etwa noch auf der Chromium-Version 70.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (u. a. Roccat Kain 122 Aimo für 53,99€, Roccat Kain 200 Aimo für 74,99€)

Airblader 17. Dez 2018

Das ist letztlich auch nicht anders als localStorage oder IndexedDB. Es ist eine...

TC 17. Dez 2018

Da gibts wohl für die meisten kein Update

bionade24 17. Dez 2018

kwT


Folgen Sie uns
       


Wo bleiben die E-Flugzeuge? (Interview mit Rolf Henke vom DLR)

Wir haben den Bereichsvorstand Luftfahrt beim DLR gefragt, was Alternativen zum herkömmlichen Flugzeug so kompliziert macht.

Wo bleiben die E-Flugzeuge? (Interview mit Rolf Henke vom DLR) Video aufrufen
Verkehr: Das Kaltstart-Dilemma der Autos mit Hybridantrieb
Verkehr
Das Kaltstart-Dilemma der Autos mit Hybridantrieb

Bei Hybridautos und Plugin-Hybriden kommt es häufiger zu Kaltstarts als bei normalen Verbrennungsmotoren - wenn der Verbrennungsmotor ausgeht und der Elektromotor das Auto durch die Stadt schiebt. Wie schnell lässt sich der Katalysator vorwärmen, damit er Abgase dennoch gut reinigen kann?
Von Rainer Klose

  1. Elektromobilität Umweltbonus gilt auch für Jahreswagen
  2. Renault City K-ZE Dacia plant City-Elektroauto
  3. Elektroautos EU-Kommission billigt höheren Umweltbonus

Leistungsschutzrecht: Drei Wörter sollen ...
Leistungsschutzrecht
Drei Wörter sollen ...

Der Vorschlag der Bundesregierung für das neue Leistungsschutzrecht stößt auf Widerstand bei den Verlegerverbänden. Überschriften mit mehr als drei Wörtern und Vorschaubilder sollen lizenzpfichtig sein. Dabei wenden die Verlage einen sehr auffälligen Argumentationstrick an.
Eine Analyse von Friedhelm Greis

  1. Leistungsschutzrecht Memes sollen nur noch 128 mal 128 Pixel groß sein
  2. Leistungsschutzrecht Französische Verlage reichen Beschwerde gegen Google ein
  3. Leistungsschutzrecht Französische Medien beschweren sich über Google

Wolcen im Test: Düster, lootig, wuchtig!
Wolcen im Test
Düster, lootig, wuchtig!

Irgendwo zwischen Diablo und Grim Dawn: Die dreckige Spielwelt von Wolcen - Lords Of Mayhem ist Schauplatz für ein tolles Hack'n Slay - egal ob offline oder online, alleine oder gemeinsam. Und mit Cryengine.
Ein Test von Marc Sauter

  1. Project Mara Microsoft kündigt Psychoterror-Simulation an
  2. Active Gaming Footwear Puma blamiert sich mit Spielersocken
  3. Simulatoren Nach Feierabend Arbeiten spielen

    •  /