内容简介:2018年12月10日,国家信息安全漏洞共享平台(CNVD)收录了由腾讯安全平台部Tencent Blade团队发现并报告的SQLite远程代码执行漏洞(CNVD-2018-24855)。攻击者利用该漏洞,可在未授权的情况下远程执行代码。目前漏洞利用细节尚未公开。SQLite作为嵌入式数据库,支持大多数SQL标准,实现了无服务器、零配置、事务性的SQL数据库引擎,在网页浏览器、操作系统、嵌入式系统中使用较为广泛。Web SQL数据库是引入了一套使用SQL操作客户端数据库的API,以SQLite作为底层实现
安全公告编号:CNTA-2018-0031
2018年12月10日,国家信息安全漏洞共享平台(CNVD)收录了由腾讯安全平台部Tencent Blade团队发现并报告的 SQLite 远程代码执行漏洞(CNVD-2018-24855)。攻击者利用该漏洞,可在未授权的情况下远程执行代码。目前漏洞利用细节尚未公开。
一、漏洞情况分析
SQLite作为嵌入式数据库,支持大多数 SQL 标准,实现了无服务器、零配置、事务性的SQL数据库引擎,在网页浏览器、操作系统、嵌入式系统中使用较为广泛。Web SQL数据库是引入了一套使用SQL操作客户端数据库的API,以SQLite作为底层实现,可在最新版的Chrome/Chromium浏览器运行。
Chromium官方发布了11月份安全漏洞公告,其中包含SQLite远程代码执行漏洞。该漏洞通过调用Web SQL API,临时创建数据库,并恶意修改SQLite数据库内部表,使代码运行至错误分支。之后,攻击者就可通过调用SQLite的数据库索引操作触发漏洞,实现对浏览器的远程攻击,在浏览器的渲染器(Render)进程执行任意代码。
同时,作为基础组件库的SQLite也作为扩展库被许多程序使用,例如 PHP 、 Python 等等,攻击者可通过同样的攻击代码,在这些进程的上下文中本地或远程任意执行代码,或导致软件拒绝服务。
CNVD对该漏洞的综合评级为“高危”。
二、漏洞影响范围
根据官方公告情况,该漏洞的影响版本如下:
-
Chrome浏览器71.0.3578.80以下版本
-
使用Chromium内核的浏览器软件
-
Android手机WebView组件及使用WebView组件的第三方App
-
使用SQLite组件和SQLite库的程序(尤其是可能接收外部恶意输入执行SQL语句的程序,例如PHP SQLite3组件)
三、漏洞处置建议
1、谷歌/SQLite官方修补方案
Chromium产品需更新至官方稳定版71.0.3578.80,或同步更新至代码版本Commit c368e30ae55600a1c3c9cb1710a54f9c55de786e及以上
(https://chromium.googlesource.com/chromium/src/+/c368e30ae55600a1c3c9cb1710a54f9c55de786e)。
SQLite及SQLite库产品需更新至3.26.0版本,该版本为目前的官方稳定版(https://www.sqlite.org/releaselog/3_26_0.html)。
2、临时解决方案:
(1)禁用WebSQL:编译时不编译third-party的sqlite组件
由于WebSQL没有任何规范,目前仅有Chrome、Safari支持。但是Safari也已经阉割了大部分sqlite功能。如果关闭此功能不影响产品,可禁用WebSQL。
验证方法:重新编译后的内核,应无法在控制台调用openDatabase函数。
(2)关闭SQLite中的fts3功能
如关闭此功能不影响产品,可禁用该功能。Safari在Webkit中关闭fts3的方案,请参考
https://github.com/WebKit/webkit/commit/36ce0a5e2dc2def273c011bef04e58da8129a7d6。
验证方法:执行如下JavaScript代码时,不返回{a:1}则表示已关闭该功能:
var db = openDatabase('xxxxx'+parseInt(Math.random()*10000).toString(),1, 'fts_demo', 5000000); db.transaction(function(tx) { tx.executeSql('create virtual table x using fts3(a,b);'); tx.executeSql('insert into x values (1,2);'); tx.executeSql('select a from x;', [], function (tx, results) { console.log(results.rows[0]); }); });
(3)使用腾讯QQ浏览器提供的浏览服务(https://x5.tencent.com/)
目前腾讯X5 SDK(v3.6.0.1371)已修复此漏洞,第三方Android APP可由Webview切换到X5内核,修复此漏洞。
附:参考链接:
(1)谷歌安全公告:
https://chromereleases.googleblog.com/2018/12/stable-channel-update-for-desktop.htm
(2)SQLite更新公告:
https://www.sqlite.org/releaselog/3_26_0.html
(3)SQLite漏洞详情页面:
https://blade.tencent.com/magellan/
感谢腾讯安全平台部对本公告提供的技术支持。
声明:本文来自CNVD漏洞平台,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如需转载,请联系原作者获取授权。
以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网
猜你喜欢:- 漏洞预警 | ThinkPHP5远程命令执行漏洞
- WinRAR 代码执行漏洞复现
- struts2远程代码执行漏洞
- 【漏洞预警】 S2-057远程代码执行
- EKG Gadu 本地代码执行漏洞
- Gogs 远程命令执行漏洞分析
本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
HEX CMYK 转换工具
HEX CMYK 互转工具
HEX HSV 转换工具
HEX HSV 互换工具