谷歌Chrome受到麦哲伦2.0新漏洞的影响
一组新的SQLite漏洞允许攻击者在全球最流行的浏览器谷歌Chrome中远程运行恶意代码。
这五个漏洞被命名为“麦哲伦2.0”,今天由腾讯刀片安全团队披露。
所有使用SQLite数据库的应用程序都容易受到Magellan 2.0的攻击;然而,“远程利用”的危险比Chrome要小,Chrome的WebSQL API功能在默认情况下会让Chrome用户受到远程攻击。
就在麦哲伦2.0发布的一年前,也就是2018年12月,腾讯刀片服务器安全团队发布了麦哲伦原始的SQLite漏洞。
就像最初的Magellan漏洞一样,这些新的变化是由于SQLite数据库从第三方接收的SQL命令中的输入验证错误造成的。
攻击者可以编写包含恶意代码的SQL操作。当SQLite数据库引擎读取这个SQLite操作时,它可以代表攻击者执行命令。
在今天发布的一份安全报告中,腾讯刀片团队表示,麦哲伦2.0的漏洞可能导致“远程代码执行、程序内存泄漏或导致程序崩溃”。
所有使用SQLite数据库存储数据的应用程序都是易受攻击的,尽管“互联网远程攻击”的载体在默认情况下是不可利用的。要想被利用,应用程序必须允许直接输入原始SQL命令,这是很少有应用程序允许的。
对于谷歌Chrome的用户来说,远程攻击的危险是存在的,该浏览器还使用一个内部SQLite数据库来存储各种浏览器设置和用户数据。
这是因为谷歌Chrome附带了WebSQL,这是一个将JavaScript代码转换成SQL命令的API,然后在Chrome的SQLite数据库上执行。WebSQL在Chrome中是默认启用的,在Opera中也是如此。
恶意网站可以使用麦哲伦2.0漏洞来运行恶意代码攻击其Chrome访问者。然而,腾讯团队表示,用户没有理由担心,因为他们已经通知了谷歌和SQLite团队这些问题。
腾讯表示,两周前发布的谷歌Chrome 79.0.3945.79修复了麦哲伦2.0的五个漏洞。
SQLite项目也在2019年12月13日修复了一系列补丁中的错误;但是,这些修复并没有包含在一个稳定的SQLite分支中——仍然是12月10日发布的v3.30.1。
不必担心:SQLite和谷歌已经确认并修复了它,我们也正在帮助其他供应商解决这个问题。我们还没有发现任何滥用麦哲伦2.0的证据,现在也不会透露任何细节。如果您有任何技术问题,请随时与我们联系!https://t.co/3hUro9URWf
腾讯表示,它不知道有任何针对麦哲伦2.0漏洞的公开攻击代码或攻击。这家公司表示,它计划在未来几个月公布有关这两个漏洞的更多细节,而今天公布的只是他们发现的一个摘要,目的是提醒应用程序开发人员,并推动他们更新附带应用程序的SQLite版本。
然而,一些人可能不同意这家公司的决定。去年,当腾讯Blade公布了麦哲伦原始漏洞的细节时,该公司遭到了SQLite的创建者d理查德希普(D. Richard Hipp)的严厉批评。
当时,Hipp说这家公司夸大了原始漏洞的影响,因为Magellan攻击矢量不会导致绝大多数依赖SQLite的应用程序的远程代码执行(RCE)。
关于SQLite中的RCE漏洞的报告被大大夸大了。一些聪明的“灰帽子”发现了一种使用恶意编写的SQL来获得RCE的方法。因此,如果您允许随机的internet用户在您的系统上运行任意的SQL,那么您应该进行升级。否则,你就没有风险。
希普是对的,他2018年的观测结果对2019年的麦哲伦2.0仍然有效。大多数使用SQLite数据库的应用程序不会受到“远程”Magellan 2.0攻击的影响。
尽管如此,远程代码执行(RCE)场景在Chrome中是可能的,这主要是由于WebSQL API的存在。
免责声明:本文由用户上传,与本网站立场无关。财经信息仅供读者参考,并不构成投资建议。投资者据此操作,风险自担。 如有侵权请联系删除!
-
作为A股市场中极具代表性的黄金珠宝行业龙头企业,作为中国历史最悠久的珠宝品牌之一,老凤祥(股票代码:600612)...浏览全文>>
-
宝子们,杭州 房子装修完成啦!这次要给大家分享几家设计超赞的装修公司哦。它们各具特色,从空间规划到风格...浏览全文>>
-
欲筑室者,先治其基。在上海,装修房子对于每个业主而言,都是极为关键的一步,然而,如何挑选一家值得信赖的...浏览全文>>
-
2025年以来,联通支付严格贯彻落实国家战略部署,以数字和科技为驱动,做好金融五篇大文章,履行支付为民社会...浏览全文>>
-
良工巧匠,方能筑就华居;精雕细琢,方可打造美家。当我们谈论装修公司时,选择一家靠谱可靠的公司是至关重要...浏览全文>>
-
在当今社会,随着城市化进程的高速推进,建筑垃圾的产生量与日俱增。据权威数据显示,我国每年建筑垃圾产生量超 ...浏览全文>>
-
家人们,在上海要装修,选对公司那可太重要了!古语有云:"安得广厦千万间,大庇天下寒士俱欢颜。"一个温馨的...浏览全文>>
-
近年来,新能源汽车市场发展迅猛,各大品牌纷纷推出各具特色的车型以满足消费者多样化的需求。作为国内新能源...浏览全文>>
-
近年来,随着汽车市场的不断变化和消费者需求的升级,安徽滁州地区的宝来2025新款车型在市场上引起了广泛关注...浏览全文>>
-
随着汽车市场的不断变化,滁州地区的消费者对高尔夫车型的关注度持续上升。作为大众品牌旗下的经典车型,高尔...浏览全文>>
- 安徽滁州途安L新车报价2022款,最低售价16.68万起,入手正当时
- 小鹏G7试驾,新手必知的详细步骤
- 别克GL8预约试驾,4S店的贴心服务与流程
- 安徽阜阳ID.4 CROZZ落地价全解,买车必看的省钱秘籍
- 淮北探岳多少钱 2025款落地价,最低售价17.69万起现在该入手吗?
- 安徽淮南大众CC新款价格2025款多少钱能落地?
- 淮北长安启源C798价格,最低售价12.98万起现在该入手吗?
- 安徽淮南途锐价格,各配置车型售价全解析
- 蒙迪欧试驾预约,4S店体验全攻略
- 沃尔沃XC40试驾需要注意什么
- 滁州ID.4 X新车报价2025款,各车型售价大公开,性价比爆棚
- 试驾思域,快速操作,轻松体验驾驶乐趣
- 试驾长安CS35PLUS,一键搞定,开启豪华驾驶之旅
- 天津滨海ID.6 X落地价限时特惠,最低售价25.9888万起,错过不再有
- 天津滨海凌渡多少钱?看完这篇购车攻略再做决定
- 安徽池州长安猎手K50落地价,买车前的全方位指南
- 山东济南ID.6 CROZZ 2024新款价格,最低售价19.59万起,现车充足
- 试驾海狮05EV,新手必知的详细步骤
- 生活家PHEV多少钱 2025款落地价走势,近一个月最低售价63.98万起,性价比凸显
- 奇瑞风云A9试驾,新手必知的详细步骤