The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая браузеры на базе Chromium

15.12.2018 09:29

Во встраиваемой СУБД SQLite выявлена критическая уязвимость, которую можно использовать для совершения удалённой атаки на приложения для выполнения кода злоумышленника. Уязвимость может быть эксплуатирована в случае если приложение допускает передачу в SQLite SQL-конструкций, поступающих извне, или когда приложение допускает обработку подготовленных пользователем бинарных файлов с базой SQLite (например, когда файл с базой используется как формат для переноса данных).

Наибольшую опасность уязвимость представляет для пользователей браузера Chrome и приложений, использующих движок Chromium. Атака на Chromium возможна через манипуляцию с API WebSQL, который реализован поверх SQLite и подразумевает использование данной СУБД для обработки SQL-запросов из web-приложений. Для атаки достаточно создать страницу с вредоносным JavaScript-кодом и добиться чтобы пользователь открыл её в браузере на базе движка Chromium.

Firefox удалённой уязвимости не подвержен так как разработчики Mozilla в своё время отказались от реализации WebSQL в пользу API IndexedDB. SQLite используется в Firefox для хранения внутренних БД на диске, которые недоступны для отправки в них произвольных SQL-запросов из Web. Эксплуатации уязвимости в Firefox можно добиться только через замену этих БД или внесения повреждений на низком уровне, но подобная атака бессмысленна, так как должна быть совершена пользователем, уже имеющим доступ на запись к локальной файловой системе.

Детали уязвимости и метод эксплуатации пока не раскрываются чтобы дать пользователям время на установку обновлений. Наличие уязвимости подтверждено компанией Google. Более того, подготовлен работающий эксплоит для атаки на смартдинамик Google Home. Проблема уже исправлена в недавно сформированных выпусках Chrome/Chromium 71.0.3578.80 и SQLite 3.26. Особенно важно проконтролировать обновление сторонних браузеров на базе движка Chromium, которые не всегда оперативно доводят исправления до пользователей. Идентификатор CVE пока не назначен, но проблеме уже присвоено кодовое имя Magellan.

Судя по недавним изменениям в SQLite предполагается (подтверждено создателем SQLite), что уязвимость вызвана устранённым в выпуске 3.25.3 целочисленным переполнением в реализации движка полнотекстового поиска FTS3, которое могло привести к переполнению буфера в случае повреждения индекса. Для повреждения индекса могли использоваться манипуляции с теневыми таблицами (shadow tables), особым видом виртуальных таблиц с возможностью записи. В SQLite 3.26.0 обеспечен запрет на запись в теневые таблицы, действующий при включении режима SQLITE_DBCONFIG_DEFENSIVE (запрещает возможности, которые могут привести к повреждению БД через SQL, и рекомендуется для включения в случае, если SQLite должен обрабатывать непроверенные внешние SQL-запросы).

  1. Главная ссылка к новости (https://news.ycombinator.com/i...)
  2. OpenNews: В Bash выявлено ещё четыре уязвимости, эксплуатируемые через переменные окружения
  3. OpenNews: Критическая уязвимость в bash, которая может привести к удалённому запуску команд (дополнено)
  4. OpenNews: Опубликованы детали критической уязвимости в MySQL и MariaDB
  5. OpenNews: Критическая root-уязвимость в MySQL
  6. OpenNews: Уязвимость в MySQL, позволяющая поднять свои привилегии
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/49784-sqlite
Ключевые слова: sqlite, chromium
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (100) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, КГБ СССР (?), 10:19, 15/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    Если вдруг не все в курсе, данные ваших гуглопрофилей локально хранятся в сабже.
     
     
  • 2.22, Аноним (22), 14:11, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Firefox тоже хранит кое-что в сабже, только проблема не в этом. И в новости это написано. :)
     
     
  • 3.25, КГБ СССР (?), 14:15, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ага. В моих уже удалённых бдунами комментариях было про это вскользь (про 2-й и 3-й абзацы). И про то, что половина опеннетовских анонимов не понимает смысл прочитанного.
     
     
  • 4.70, Аноним (-), 18:34, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Небось как обычно, ругался хуже почтового грузчика :)
     
     
  • 5.73, КГБ СССР (?), 21:09, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +6 +/
    > Небось как обычно, ругался хуже почтового грузчика :)

    Ну как тебе сказать. Всего лишь честно и справедливо обнародовал о своих наблюдениях, что только умственно отсталые (пример в комменте № 3) могут прочитать статью и нифига из неё не понять, и что на небольшой выборке комментариев к этой статье отлично видно, что половина активных опеннетовских анонимных экспертов абсолютно не понимает смысл прочитанного. Но хвостатые здесь в большом фаворе — минусуют всякую здравую мысль, пишут жалобы и доносы, а не слишком отличающиеся от хвостатых местные бдуны трут реально ценные комментарии. Это, конечно, фейспалм. В итоге сайт вместо полезной информации от компетентных комментаторов содержит какие-то пустые анонимные слюнявые замеры линуксами. Парламент не место для дискуссий, ага.

     
     
  • 6.94, Аноним (-), 01:44, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Насчет 3 вынужден согласиться - этот таки лоханулся по полной программе, не поняв что вывешивать в внешний мир SQLное двигло - не лучшая идея на свете.

    //а я таки binary minded, мне нравятся key-value, где и то и другое произвольные массивы, так что со мной такой фокус не прокатит :)

     
  • 2.107, Аноним (107), 14:46, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    И что с того? Ты будешь сам себя атаковать?
     
     
  • 3.108, Аноним (107), 14:50, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    А, сам въехал в чём косяк. Ну Гуглу всё пофиг, к нему не липнет.
     

  • 1.2, КГБ СССР (?), 10:19, 15/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Всё-таки в Гугле уникальный заповедник альтернативно одарённых.
     
     
  • 2.3, Нанобот (ok), 10:31, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • –11 +/
    ошибка в sqlite, а винован гугл...по-моему кто-то сегодня забыл принять свои таблетки
     
     
  • 3.6, dep346 (ok), 10:45, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +10 +/
    Гугл открыл почти прямой доступ из любых веб-страниц к чужому коду, который сам Гугл не контролирует, и который может выполнить в системе много чего, так что все последствия и не просчитаешь. Ну да, Гугл не виноват.
     
     
  • 4.9, Аноним (9), 10:57, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +12 +/
    >Гугл открыл почти прямой доступ из любых веб-страниц к чужому коду, который сам Гугл не контролирует, и который может выполнить в системе много чего, так что все последствия и не просчитаешь.

    Так приходится делать всем. Все браузерные и небраузерные движки рендеринга используют libjpg, libpng, lib<что-нибудь для декодирования видео>, напр. stagefright, под виндой все используют ядерный парсер шрифтов, для регулярок весьма вероятно что все используют либо libpcre2, либо встроенные в сишку. Не говоря уже о WebGL, где недоверенный шейдер передаётся драйверу видеокарты, которые никто не обновляет, потому что запланированное устаревание.

     
     
  • 5.11, Аноним (11), 11:14, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > для регулярок весьма вероятно что все используют либо libpcre2, либо встроенные в сишку

    Это просто праздник какой-то.

     
  • 5.13, dep346 (ok), 11:18, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Одно дело декодер какого-то формата, другое - язык с широкими возможностями для массового выполнения операций над постоянно хранимыми данными.
     
     
  • 6.15, Аноним (15), 12:26, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    И в чём же принципиальная разница?
     
     
  • 7.37, аноним3 (?), 17:02, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    да никакой. и то и то может ломануть твои данные и систему))
     
  • 7.60, Аноним (-), 15:17, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В количестве вариантов действий у атакующего и возможности все это предсмотреть ... большой текст свёрнут, показать
     
     
  • 8.72, Аноним (9), 21:01, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    SQLite - для десктопов и эмбеддеда В ванильной SQLite этого нет, и даже плагина... текст свёрнут, показать
     
     
  • 9.95, Аноним (-), 01:53, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Это не помешало наворотить фич и в нем И Bobby Tables таки и на него распостран... большой текст свёрнут, показать
     
  • 8.77, КГБ СССР (?), 21:28, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ты думаешь, что Гугель глюпий и не знает, что делает Уверяю тебя, анон, они ... текст свёрнут, показать
     
     
  • 9.96, Аноним (-), 01:54, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Да запросто Посмотри сколько проектов они сливают Они могут позволить себе пиж... текст свёрнут, показать
     
  • 5.20, тоже Аноним (ok), 13:46, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Так приходится делать всем.

    См. тут же в статье про FF, который ТАК делать не стал. Прекрасно понимая, куда эта дорога ведет.

     
     
  • 6.36, irinat (ok), 17:02, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, они просто любят Javascript. Всё равно придётся делать API, которое позволит избежать формирования SQL вручную _полностью_. Почему бы тогда не сделать это API основным, выбросив прямой доступ к SQL совсем? Меньше сущностей, меньше шансов на SQL-инъекции.
     
     
  • 7.44, тоже Аноним (ok), 18:04, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Вообще-то это просто понимание азов грамотной архитектуры: на таком высоком уровне, как работа с клиентом, не должно быть никакой информации о таком низком уровне, как работа с БД.
     
  • 6.71, kai3341 (ok), 21:01, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > См. тут же в статье про FF, который ТАК делать не стал. Прекрасно понимая, куда эта дорога ведет.

    Гораздо выше вероятность, что FF едва шевелится, чтобы внедрять экспериментальные фичи. До релиза Servo Мозилле надо очень-очень постараться выжить. Хотя в отношении приватности в последнее время я уважаю FF всё больше

    SQL на клиенте -- это круто. Это позволит держать намного более сложный и обширный state (в несколько десятков МБ. Это дикие объёмы данных для JSON) так же легко, как сегодня держится state в максимум сотни КБ.

    В своё время мы отказались от SQLite на клиенте в связи с тем, что поддерживает SQLite только Chrom{e,ium}, а сам Google этот SQLite ещё и задепрекейтил.

     
     
  • 7.79, тоже Аноним (ok), 09:52, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    А потом на мобильном Хроме ваш сайт просто валится вместе с браузером от нехватки памяти.
     
     
  • 8.80, kai3341 (ok), 14:13, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Вы правы, однако, как говорил Чапаев, есть один нюанс Приложение ворочается в и... текст свёрнут, показать
     
     
  • 9.83, тоже Аноним (ok), 14:58, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Этот нюанс говорит о том, что ваш клиент вообще совершенно необязательно было ... текст свёрнут, показать
     
     
  • 10.86, kai3341 (ok), 16:51, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Спасибо, поржал Потом бегай по пользователям да обновляй А ещё делай клиента п... текст свёрнут, показать
     
     
  • 11.87, нах (?), 17:49, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    п-ц Вы только что видели ренгеновский снимок содержимого головы типового разраб... текст свёрнут, показать
     
     
  • 12.88, Аноним (88), 19:11, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Веб-морда как раз и позволяет держать весь функционал внутри сервера ... текст свёрнут, показать
     
     
  • 13.92, тоже Аноним (ok), 23:24, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вот только товарищу при этом неудержимо требуется держать мегабайты состояния на... текст свёрнут, показать
     
     
  • 14.103, КГБ СССР (?), 08:52, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    171 Память и працэсары нынче дишовае А ты чо, бедный, денех нету Или работат... текст свёрнут, показать
     
  • 12.89, КГБ СССР (?), 19:20, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Пока они пишут 171 клиенты под все платформы 187 , ещё не страшно Когда они ... текст свёрнут, показать
     
     
  • 13.91, topin89 (?), 23:19, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Для россиян разработали инструкцию по поведению рядом с беспилотными автомобиля... текст свёрнут, показать
     
     
  • 14.106, нах (?), 12:37, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    думаешь, в благословенной Америке инструкция какая-то другая ну хотя, да - сид... текст свёрнут, показать
     
  • 11.90, тоже Аноним (ok), 23:17, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Софт для интранет-сервера В локалке с серверами Бегай Oook ... текст свёрнут, показать
     
     
  • 12.93, kai3341 (ok), 01:09, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Хорошая попытка, но прав админа у меня не было, чтобы обновить приложение домено... текст свёрнут, показать
     
     
  • 13.100, Аноним (-), 02:13, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну так апдейтить наверное должны админы А так звучит как отчет очередного энике... текст свёрнут, показать
     
  • 13.102, тоже Аноним (ok), 08:22, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Где админские права выдаются только прибежавшему Боже упаси ... текст свёрнут, показать
     
  • 9.98, Аноним (-), 02:00, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вообще-то оптимальность выбора того и другого зависит от задачи И там дело дале... текст свёрнут, показать
     
     
  • 10.111, kai3341 (ok), 18:24, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    gt оверквотинг удален Два чаю вам за конструктивный комментарий Вы полностью ... большой текст свёрнут, показать
     
  • 6.97, Аноним (-), 01:56, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > Прекрасно понимая, куда эта дорога ведет.

    Что-то они плохо поняли с своим 0day в смотрелке пдфок. Казалось бы что им стоило вместо этой прорвы потуг пару сисколов отвесить в духе хромиума? Прелесть хромиума в том что даже если атакующий и прорубится - ну, ок, сопрет целые Downloads, укачаные браузером. Остальное ему недоступно. И команд в системе нет. Да и вообще системы как таковой.

     
  • 5.26, Аноним (9), 14:30, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    вернее не в сишке, а в плюсах
     
     
  • 6.38, аноним3 (?), 17:03, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • –1 +/
    ты прав си как то позабыли. все на ++ ушли.
     
     
  • 7.58, Аноним (-), 01:17, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Отучаемся говорить за всех. Особенно нагло смотрится в ветке про _сишную_ либу.
     
     
  • 8.59, аноним3 (?), 03:46, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • –1 +/
    не помню такой либы и вообще переходи на богомерзкий джаваскрипт и не мучай ... текст свёрнут, показать
     
     
  • 9.62, Аноним (-), 15:24, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Я бы сказал что он скорее багомерзкий - из-за своего дизайна Чудно устроен - си... текст свёрнут, показать
     
  • 5.31, пох (?), 15:38, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +7 +/
    ну так по этой причине нормальные люди и проклинали изобретателей webненужно и продолжают это делать, изобретая все менее и менее надежные способы поотключать то, что макаки надизайнили.

    Но тут гугль превзошел самого себя, поскольку этот api - ненужно в квадрате.

     
     
  • 6.55, КГБ СССР (?), 22:58, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    ИЧСХ, это пропихнули в типа-стандарты https www w3 org TR webdatabase С поме... большой текст свёрнут, показать
     
     
  • 7.69, Аноним (69), 16:25, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > Ian Hickson, Google, Inc.

    Ян Сын Деревенщины, простигоспади.

    hick

    If you refer to someone as a [I]hick[/I], you are saying in a [I]rude[/I] way that you think they are [I]uneducated and stupid[/I] because they come from the countryside.

     
     
  • 8.74, КГБ СССР (?), 21:16, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Этот Ян, на минуточку, автор тестов ACID Так что о некомпетентности речь вести ... текст свёрнут, показать
     
  • 7.84, Ян собачий сын (?), 16:22, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    ну подумаешь, неполучилось в этот раз. Зато сколько мусора пропихнули! И заставили мурзилу воплощать, чтоб у нее ресурсы побыстрее кончились.

     
  • 7.114, Аноним (88), 15:41, 08/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    >Но анонимные эксперты опеннета всё равно не понимают, почему виноват Гугль.

    Потому что гугль не смог запилить еще один SQLite, чтобы было несколько альтернативных бэкэндов?

     
  • 5.51, Аноним (51), 19:49, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > Все браузерные... движки рендеринга используют libjpg, libpng

    И поэтому единственный правильный ответ изобретателям новых веб-API и кодеков - средний палец

     
     
  • 6.99, Аноним (-), 02:08, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Будь мужиком, смотри видео в MPEG-2 с пиратской DVDшки :)
     
  • 4.30, пох (?), 15:33, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    там еще и fts, который в sqlite требуется отдельно включать, и у которого куча стремных особенностей (мне приходилось в свое время лазить в этот код, чтобы заставить его работать как мне надо) но который, конечно же, был очень нужен в прекрасном sql api, чтоб не дай б-же не перегрузить работой баз данных сервера гугля. Каждой шибко-умной веб-странице свою базу данных на компьютере пользователя. Девляпсы и кодошлепы аплодируют всеми четырьмя лапами, гугл, конечно же, не виноват в том что развивает только самое модное и ненуж...ой, полезное и приятное для горе-разработчика.

    P.S. мурзилин индекседдб я бы отправил нахрен по трубе ровно следом за sql api, если что. Сегодня им повезло, завтра поломают их.

     
     
  • 5.63, Аноним (-), 15:28, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Экий ты хитрый! А как тебе рекламеры неочевидные стелс-куки на манер флешкук тогда будут ставить?! Флеша то в 2020 - совсем под нож! Его и сейчас уже везде повытряхивали и доля скукоживается, а через год ему совсем крышка же.

    Так что уже попадается местами фееричный по своей наглости код, делающий с БД черти-что.

     
  • 3.7, Аноним (7), 10:49, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +3 +/
    ошибка в sqlite, а виноват поцтеринк, гугл, сатья наделла, npm leftpad и так далее.
     
     
  • 4.14, А (??), 11:34, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    it's true.
     
  • 4.35, OldFart (?), 16:58, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Я тоже иногда новости по диагонале читаю, бывает... :)

    Для пропустивших:

    >__приложение__ допускает передачу в SQLite SQL-конструкций, поступающих извне

    Where is: __приложение__ = гугель

     
     
  • 5.39, аноним3 (?), 17:39, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +2 +/
    нормальному браузеру не нужна sql-база. это вообще извращение. только дыр больше. вот никто не изучал теории надежности. то что сейчас все взялись клепать дырявые комбайны это жуть. unix-like все позабыли. одна задача-одно приложение. здесь и легковестность и надежность повыше. а потом ноют , что все дырявое и языки плохие. нубы.
     
     
  • 6.42, Аноним (7), 17:56, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > unix-like все позабыли. одна задача-одно приложение

    Кто сказал, что решение одной задачи должно быть оформлено именно в виде одного физического обособленного запускаемого ELF-файла? Тогда со своим-то юних-веем иди ко всем редакторам txt-файлов, которые - сволочи! - объединяют в своих редакторах сразу два абсолютно разных функционала: просмотр txt-файлов и редактирование txt-файлов. (PDF редактируются и просматриваются разными программами, как и видео, аудио и т.д.)

     
     
  • 7.48, аноним3 (?), 18:58, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    ну передачу данных их одного приложения никто не отменял. учитывая тот же принцип cat ***.txt | sed -* . почему нельзя сделать пачку маленьких программ, которые по отдельности будут вызываться и делать свое дело. хотя бы проверку принимпемых данных  сделали. а так sqlite потрохами наружу и бери данные как хочешь.
     
  • 5.43, Аноним (7), 17:58, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Написано:

    > Во встраиваемой СУБД SQLite выявлена критическая уязвимость

    Но не написано:

    > Во встраиваемой СУБД SQLite всё хорошо, уязвимостей в SQLite не найдено

     
  • 3.21, Аноним84701 (ok), 13:52, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > ошибка в sqlite, а винован гугл...

    https://sqlite.org/src/info/940f2adc8541a838
    > Add extra defenses against strategically corrupt databases to fts3/4."
    >> в случае если приложение допускает передачу в SQLite SQL-конструкций, поступающих извне, или когда
    >> приложение допускает обработку подготовленных пользователем бинарных файлов с базой SQLite

    Вообще-то, раньше использование непроверенных данных из недоверенных источников (а прилетающие из тырьнета запросы ничем иным не являются) называли скромно "SQL injection" и считали виноватым разработчика приложения/сайта, но никак не разработчиков DB.
    Тем более:
    > if you follow the advice of the article[https://www.sqlite.org/security.html ] above and "PRAGMA quick_check" untrusted database files or set "PRAGMA cell_size_check=ON" then none of the recently found and fixed issues are reachable.
    >

     
     
  • 4.23, kxmdk (?), 14:12, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Вы вообще хоть что нибудь смыслите в этом? Инъёкция - это нарушение привилегий. У пользователя нет привилегии исполнять запросы в базе, но фактически есть.

    Тут же у пользователя изначально есть такие привилегии.

     
     
  • 5.27, тоже Аноним (ok), 14:49, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да, давайте не путать термины. Это не инъекция, это бэкдор.
     
  • 5.28, Аноним84701 (ok), 14:54, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Вы вообще хоть что нибудь смыслите в этом?

    С каких пор это стало обязательным на опеннете при комментировании? o_O

    > Инъёкция - это нарушение привилегий. У пользователя нет привилегии исполнять запросы в базе, но фактически есть.Тут же у пользователя изначально есть такие привилегии.

    Не знаю, в нашей реальности у пользователя  обычно есть привилегия исполнять запросы в базе по строгим шаблонам (ценник, наим. товара, рейтинг, отзывы).
    Иногда правда в проверке подставляемых в шаблоны данных, находят дыры - и шаблоны несколько видоизменяются,  позволяя пользователю выполнять другие варианты запросов. Все вместе: дыра в (или вообще отсутствие) проверке данных для шаблона запроса, позволяющая осуществить свой, "нехороший" вариант запроса -- у нас назвали "SQL injection/уязвимостью".

    Но в вашей реальности, если вы выполняете SQL запрос с левым вводом пользователя и этот запрос оказывается злонамеренным и делает совсем не то, что ожидалось, то это не называют инъекцией? Как интересно!


     
     
  • 6.47, Аноним (9), 18:42, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ещё раз. sql-инъекция - это то, что даёт возможность выполнять к базе произвольные запросы тому, у кого такой привилегии нет. shell-инъекция - это то, что даёт возможность выполнять команды командной строки. Но если такой доступ есть изначально, то это не инъекция, а ССЗБ.

     
     
  • 7.52, Аноним (51), 19:54, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Всё верно. В данном случае недоверенный код получает доступ к браузеру правлмерным путём; иными словами, — через внедрённый Гуглом бэкдор.
     
     
  • 8.54, jddjdj (?), 22:21, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Опровергнуть, что это - бекдор, не могу, как и опровергнуть чайник Рассела Но з... текст свёрнут, показать
     
  • 3.32, Аноним (32), 16:11, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +3 +/
    >для отправки в них произвольных SQL-запросов из Web

    только нарк^wгуглоиды могли такое придумать

     
  • 3.57, Аноним (-), 01:05, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > ошибка в sqlite, а винован гугл...

    А гугл виноват тем что додумался вывесить вебу SQLное двигло. Далеко не лучшая идея на свете, мягко говоря.

     
  • 2.18, Аноним (18), 12:47, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А то, с особой извращенской любовью к впиливанию pre0.000alfa вещей в релизные ветки для широких масс.
    Девопсия межушного нерва 99 лвл вероятно.
     

  • 1.17, anonymous (??), 12:42, 15/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Скулите и удаленно ? Хм. А как называется сервер у скулите ?
     
     
  • 2.19, Аноним (19), 12:50, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Google Chrome.
     
     
  • 3.33, anonymous (??), 16:35, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А причем тут скулите ?
     
     
  • 4.66, Аноним (-), 15:33, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > А причем тут скулите ?

    При том что он бэкэндом там прикручен, которому это скармливается, хыхы.

     

  • 1.24, Аноним (9), 14:13, 15/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    >или когда приложение допускает обработку подготовленных пользователем бинарных файлов с базой SQLite

    Спасибо, я передумал делать удаленно подгружаемые sqlite файлы.

     
     
  • 2.29, пох (?), 15:26, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +3 +/
    а гугль - не передумал, поэтому они у тебя будут подгружаться, хочешь ты этого или нет ;-)

    Скоро на всех компьютерах, снабженных бразуерами чуть посерьезнее links2.

     

  • 1.34, OldFart (?), 16:35, 15/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Integer overflow в sqlite - это конечно не айс, но давать юзверям это:

    >Уязвимость может быть эксплуатирована в случае если __приложение__ допускает >передачу в SQLite SQL-конструкций, поступающих извне, или когда __приложение__ >допускает обработку подготовленных пользователем бинарных файлов с базой SQLite

    ИМХО это - прямая лажа сборища любителей шпионить (ака Гугля)

     
     
  • 2.61, Аноним (61), 15:22, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Следующий шаг - по базе на каждую вкладку / домен. По процессу на вкладку уже есть.
     
  • 2.78, КГБ СССР (?), 21:31, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > ИМХО это - прямая лажа сборища любителей шпионить (ака Гугля)

    Лажа — это если «как-то само так получилось». А когда так и было задумано, то это не лажа.

     

  • 1.40, Аноним (40), 17:44, 15/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А зачем вообще SQL на клиентской стороне(websql)?
    Итак же есть webstorage...
     
     
  • 2.41, аноним3 (?), 17:52, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    так твои пароли проще паковать в гуглобазу)))) отсюда и websql))
     
     
  • 3.67, Аноним (-), 15:35, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > так твои пароли проще паковать в гуглобазу)))) отсюда и websql))

    Гугля рискует что некоторое количество booby tables'ов станет использовать очень специфичные пароли...

     
     
  • 4.85, Ян собачий сын (?), 16:25, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    у нас нормально obfuscated код на вашей стороне - хрен вы разберетесь, чего именно drop и где делать.


     
     
  • 5.101, Аноним (-), 02:15, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > у нас нормально obfuscated код на вашей стороне - хрен вы разберетесь,
    > чего именно drop и где делать.

    А мы fuzzer'а запустим. Вот будет клево когда у гугля что-то где-то будет рандомно дропаться, а админы даже не поймут что за нах.

     
     
  • 6.105, гугель (?), 11:49, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    да у нас и так регулярно - то ваша почта, то настройки, а админам в общем-то и понимать неохота - жалоб же нету (поскольку нет никакого места, куда можно жаловаться), все ок!
     
  • 2.109, Аноним (107), 15:07, 18/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Затем, зачем SQL вообще нужен -- для упрощения работы с данными.
     

  • 1.50, Kuromi (ok), 19:19, 15/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Вопрос собcтвенно в том, почему Гугл после того как им с друзьями не удалось продавить WebSQL решили сохранить его не поддерживаемую никем реализацию в браузере. Возможно найденная дыра заставит их пересмотреть позицию по этому впросу, ведь дыра в G+ заставила сократить сроки его закрытия.
    И опять же забавно то, что Мозилла в своем время отказались от реализации этой функциональности именно из-за опасений что все кому не лень будут лезть в БД браузера.
     
     
  • 2.53, пох (?), 20:33, 15/12/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Возможно найденная дыра заставит их пересмотреть позицию по этому впросу

    и продавить таки, поскольку возражать им никто уже не будет, никого не осталось.

     
  • 2.82, Гит рулит (?), 14:22, 17/12/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Они к этому и стремились лол.
     

  • 1.68, Аноним (68), 15:47, 16/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >>>Проблема уже исправлена в недавно сформированных выпусках Chrome/Chromium 71.0.3578.80 и SQLite 3.26

    Что-то я не вижу, что она была исправлена! Как вкладки в браузере Google-Chromium открывались, так и открываются! Что она там наисправляла - одному богу известно! С каждой новой версией Google все хуже и хуже! Что будет дальше?

     
     
  • 2.76, КГБ СССР (?), 21:25, 16/12/2018 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Что будет дальше?

    Спроси у Германа Львовича Стерлигова, он знает ответ. ;-)

     

  • 1.81, Гит рулит (?), 14:20, 17/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Ну и где любители фоселя от производителя сабжа. Глядите каким рeшетом вы пользуетесь.
     
  • 1.110, Аноним (107), 15:08, 18/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Лайт давно перестал быть Лайтом. А зря.
     
  • 1.112, Анонимчжан (?), 02:23, 19/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    закатайте старый добрый браузер без этих скулящихлайт и тому подобного. желательно на альтернативном движке. а то и правда монополия так и прет)) где штатовский антимонопольный комитет?))) но бекдор, причем открыто, так еще не продавали)))кроме виндовс))
     
  • 1.113, Alex (??), 10:59, 21/12/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    удаленно и sqlite3?
    кто писал заголовок новости - расстрелять!
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру