SQLite laat miljoenen apps achter die kwetsbaar zijn voor hackers
Cybersecurity-onderzoekers hebben een kritieke kwetsbaarheid ontdekt in het veelgebruikte SQLite-databasesoftware die miljarden implementaties aan hackers blootstelt.
Genoemd als ‘Magellan’ door Tencent’s Blade-beveiligingsteam, de nieuw ontdekte SQLite-fout kan externe aanvallers toestaan willekeurige of kwaadaardige codes uit te voeren op getroffen apparaten, programma memory leaken of applicaties laten crashen.
SQLite is een lichtgewicht wat veel wordt gebruikt bij een ‘disk-based relational database management system’ en wat minimale ondersteuning vereist van besturingssystemen of externe bibliotheken en daarom compatibel is met bijna elk apparaat, platform en programmeertaal. SQLite is momenteel de meest gebruikte database-engine ter wereld en wordt gebruikt door miljoenen applicaties met letterlijk miljarden implementaties, waaronder IoT-apparaten, macOS- en Windows-apps, waaronder belangrijke webbrowsers, Adobe-software, Skype en meer.
Omdat Chromium-gebaseerde webbrowsers, waaronder Google Chrome, Opera, Vivaldi en Brave, ook SQLite ondersteunen via de verouderde web SQL-database-API, kan een externe aanvaller gemakkelijk gebruikers van getroffen browsers targeten door hen te overtuigen om een speciaal daarvoor gemaakte website te bezoeken. “Na het testen had Chromium ook last van deze beveiligingslek. Google heeft het beveiligingslek bevestigd en verholpen”, aldus de onderzoekers in een blogpost. SQLite heeft bijgewerkte versie 3.26.0 van zijn software vrijgegeven om het probleem te verhelpen. Google heeft ook Chromium-versie 71.0.3578.80 uitgebracht om het probleem op te lossen en de gepatchte versie naar de nieuwste versie van Google Chrome en Brave web-browsers te sturen.
Onderzoekers van Tencent zeiden dat ze met succes een proof-of-concept-exploit hebben gemaakt met behulp van het Magellan-beveiligingslek en met succes hun exploit tegen Google Home hebben getest. Omdat de meeste applicaties niet eerder kunnen worden gepatcht, hebben onderzoekers besloten om technische details en de proof-of-concept exploitcode niet openbaar te maken. “We zullen op dit moment geen details over de kwetsbaarheid bekendmaken en we proberen anderen ertoe aan te zetten deze kwetsbaarheid zo snel mogelijk op te lossen”, aldus de onderzoekers.
Omdat SQLite door iedereen wordt gebruikt, waaronder Adobe, Apple, Dropbox, Firefox, Android, Chrome, Microsoft en een heleboel andere software-giganten, is de kwetsbaarheid van Magellan een opmerkelijk probleem, zelfs als het nog niet in het wild is uitgebuit.
Gebruikers en beheerders worden ten zeerste aanbevolen om hun systemen en softwareversies met de nieuwste versie bij te werken zodra ze beschikbaar zijn.
