Siber güvenlik araştırmacıları, milyarlarca dağıtımı bilgisayar korsanlarına sunan yaygın olarak kullanılan SQLite veritabanı yazılımında kritik bir güvenlik açığı keşfettiler.
Tencent’in Blade güvenlik ekibi tarafından ‘Magellan’ olarak adlandırılan yeni keşfedilen SQLite hatası, uzak saldırganların etkilenen aygıtlarda, program belleğinde veya kilitlenme uygulamalarında rasgele veya kötü amaçlı kod çalıştırmasına izin verebilir.
SQLite, işletim sistemlerinden veya harici kütüphanelerden minimum destek gerektiren ve dolayısıyla neredeyse her aygıt, platform ve programlama diliyle uyumlu, hafif, yaygın olarak kullanılan disk tabanlı bir ilişkisel veritabanı yönetim sistemidir.
SQLite, günümüzde dünyanın en yaygın olarak kullanılan veritabanı motorudur; milyonlarca uygulama, milyonlarca uygulama içeren, IoT cihazları, MacOS ve Adobe uygulamaları, Skype gibi büyük web tarayıcıları dahil olmak üzere Windows uygulamaları da dahil olmak üzere milyonlarca uygulama tarafından kullanılmaktadır.
Google Chrome, Opera, Vivaldi ve Brave dahil olmak üzere Chromium tabanlı web tarayıcıları, kullanımdan kaldırılmış Web SQL veritabanı API’sı aracılığıyla SQLit’i de desteklediğinden , uzak bir saldırgan, özel hazırlanmış bir web sitesini ziyaret etmeye ikna ederek, etkilenen tarayıcıların kullanıcılarını kolayca hedefleyebilir sayfa.
Araştırmacılar bir blog yayınında “Chromium’un test edilmesinin ardından bu güvenlik açığından etkilenen Google, bu güvenlik açığını doğruladı ve düzeltti .” SQLite, yazılımcıların 3.26.0 güncellemesini , araştırmacılardan sorumlu bir şekilde bilgilendirildikten sonra sorunu çözmek için yayımladı . Google ayrıca , sorunu çözmek için yama yüklü sürümü Google Chrome ve Cesur web tarayıcılarının en son sürümüne iten Chromium 71.0.3578.80 sürümünü de kullanıma sunmuştur. Tencent araştırmacıları, Magellan savunmasızlığını kullanarak başarılı bir kavram kanıtı oluşturduklarını ve Google Home’a karşı istismarını başarılı bir şekilde test ettiklerini söyledi. Çoğu uygulama herhangi bir zamanda daha fazla işlenemediğinden, araştırmacılar teknik detayları ve ispat kanıtı kullanma kodunu kamuya açıklamama kararı aldılar.
Araştırmacılar, “Şu anda bu güvenlik açığının ayrıntılarını açıklamayacağız ve bu güvenlik açığını en kısa sürede gidermek üzere diğer satıcıları da zorluyoruz.” dedi.
SQLite, Adobe, Apple, Dropbox, Firefox, Android, Chrome, Microsoft ve bir sürü başka yazılım dahil herkes tarafından kullanıldığından, Magellan savunmasızlığı, vahşi ortamda henüz kullanılmamış olsa bile kayda değer bir sorundur.
Kullanıcıların ve yöneticilerin sistemlerini ve etkilenen yazılım sürümlerini, kullanılabilir hale gelir gelmez en son sürüme güncellemeleri şiddetle tavsiye edilir.