博天堂网站
您所在的位置:博天堂网站>体彩分析>亚游开户 腾讯刀锋安全团队发现严重SQLite漏洞 收到谷歌苹果致谢

亚游开户 腾讯刀锋安全团队发现严重SQLite漏洞 收到谷歌苹果致谢

2020-01-11 10:20:52

亚游开户 腾讯刀锋安全团队发现严重SQLite漏洞 收到谷歌苹果致谢

亚游开户,近日腾讯刀锋(tencent blade)安全团队发现了一组名为“magellan 2.0”的sqlite漏洞,允许黑客在chrome浏览器上远程运行各种恶意程序。这组漏洞共有5个,编号分别为cve-2019-13734、cve-2019-13750、cve-2019-13751、cve-2019- 13752和cve-2019-13753,所有使用sqlite数据库的应用均会受到magellan 2.0攻击影响。

更多相关信息访问:https://blade.tencent.com/magellan2/index.html

腾讯刀锋安全团队官方网站:https://blade.tencent.com/

magellan 2.0(麦哲伦)是一组存在于sqlite的漏洞。它由tencent blade team发现,并验证可利用在基于chromium内核的浏览器的render进程中实现远程代码执行。作为知名开源数据库sqlite已经被应用于所有主流操作系统和软件中,因此该漏洞影响十分广泛。经测试,chrome浏览器也受此漏洞影响,目前google与sqlite官方已确认并修复了此漏洞。

根据腾讯刀锋安全团队官方博文,除了所有基于chromium的浏览器和google home智能音箱设备受到影响之外,苹果旗下iphone,ipad,macbook,imac, apple watch, apple tv等多款热门产品也受到影响。

sqlite漏洞是tencent blade team在安全研究中,通过人工代码审计与自动化测试发现的。这一组漏洞被团队命名为“magellan(麦哲伦)”。根据sqlite的官方提交记录,麦哲伦漏洞中危害严重的漏洞可能已经存在8年之久。利用麦哲伦漏洞,攻击者可以在用户电脑上远程运行恶意代码,导致程序内存泄露或程序崩溃。

目前,tencent blade team已联合google、apple、facebook、microsoft及sqlite官方安全团推动漏洞修复进展。与此同时,tencent blade team也提醒用户及时关注系统与软件更新通知,需将sqlite升级到目前最新的3.26.0 版本。

上周发布的谷歌chrome 71,也已经修补该漏洞。vivaldi和brave等基于chromium的浏览器,都采用最新版本的chromium。但opera仍在运行较老版本的chromium,因此仍会受到影响。

另外,虽然并不支持web sql,但firefox也会受到这个漏洞的影响,原因在于他们使用了可以在本地访问的sqlite数据库,因此本地攻击者也可以使用这个漏洞执行代码。腾讯blade安全团队建议,使用chromium系产品的团队,请尽快更新至官方稳定版本71.0.3578.80,如果使用产品中涉及sqlite,请更新到3.26.0.

另外,如暂时没有条件采用官方提供的修补方案,也有一些应急建议方案:

1)关闭sqlite中的fts3功能;

2)禁用websql:编译时不编译third-party的sqlite组件。由于websql没有任何规范,目前仅有chrome、safari支持。

最后,验证方法:重新编译后的内核应无法在控制台调用opendatabase函数。

上一篇:部分飞机维修文档不完整 西南航空仍执飞
下一篇:土豆和鸡蛋一起吃会中毒?