SQLite 漏洞影響 Chrome 等數千款應用

騰訊 Blade 安全團隊發現的一個 SQLite 漏洞可以讓黑客在受害者的電腦上遠程運行惡意代碼，還會導致程序內存泄露或程序崩潰。由于 SQLite 被嵌入到數千款應用中，因此這個漏洞會影響許多軟件，范圍涵蓋物聯網設備和桌面軟件，甚至包括網絡瀏覽器到 Android 和 iOS 應用。 并且只要瀏覽器支持 SQLite 和 Web SQL API，從而將破解代碼轉變成常規的 SQL 語法，黑客便可在用戶訪問網頁時對其加以利用。 火狐和 Edge 并不支持這種 API，但基于 Chromium 的開源瀏覽器都支持這種 API。也就是說，谷歌 Chrome、Vivaldi、Opera 和 Brave 都會受到影響。 不光網絡瀏覽器會遭受攻擊，其他應用也會受到影響。例如，Google Home 就面臨安全威脅。騰訊 Blade 團隊在本周的報告中寫道：“我們借助這個漏洞成功利用了 Google Home。” 騰訊 Blade 研究人員表示，他們曾在今年秋初向 SQLite 團隊報告過這個問題，12 月 1 日已經通過 SQLite 3.26.0 發送了補丁。上周發布的谷歌 Chrome 71 也已經修補該漏洞。 Vivaldi 和 Brave 等基于 Chromium 的瀏覽器都采用最新版本的 Chromium，但 Opera 仍在運行較老版本的 Chromium，因此仍會受到影響。 雖然并不支持 Web SQL，但火狐也會受到這個漏洞的影響，原因在于他們使用了可以在本地訪問的 SQLite 數據庫，因此本地攻擊者也可以使用這個漏洞執行代碼。 Check Point 研究員艾亞爾?伊特金（Eyal Itkin）也指出，該漏洞還需要攻擊者能夠發出任意的 SQL 指令，從而破壞數據庫并觸發漏洞，因而會大幅減少受影響的漏洞數量。 但即使 SQLite 團隊發布補丁，很多應用仍會在今后幾年面臨威脅。原因在于：升級所有桌面、移動或網頁應用的底層數據庫引擎是個危險的過程，經常導致數據損壞，所以多數程序員都會盡可能向后推遲。 也正因如此，騰訊 Blade 團隊在發布概念驗證攻擊代碼時會盡可能保持謹慎。 來源：新浪科技