Magellan 2.0, vulnerabilidades que afectan a SQLite

02/01/2020 Noticias 0

SQLite es un sistema de administración de bases de datos relacionales que es utilizado por una amplia variedad de programas, incluidos Google Chrome, Mozilla Firefox, Windows 10 y muchos otros programas conocidos. Casi un año después de revelar las vulnerabilidades de SQLite que llamaron Magellan 1.0, un equipo de investigadores ha revelado otro lote de vulnerabilidades, que en total suman cinco, al cual decidieron llamarlo Magellan 2.0: CVE-2019-13734, CVE-2019-13750, CVE-2019-13751, CVE-2019-13752, CVE-2019-13753. Estas vulnerabilidades son causadas por una validación de entrada incorrecta en los comandos SQL. Un atacante puede crear un comando SQL que contenga código malicioso, así el motor de base de datos lee este comando, lo interpreta y lo ejecuta, permitiendo así la ejecución remota de código, la pérdida de memoria del programa o la caída del programa.

En este caso el programa más afectado por estas vulnerabilidades es el Google Chrome en versiones anteriores a 79.0.3945.79; esto se debe a que Google Chrome incluye WebSQL, una API que traduce el código JavaScript en comandos SQL y que luego se ejecutan en la base de datos SQLite de Chrome. Otros programas que utilizan SQLite, también se ven afectados, pero en menor medida debido a que es muy raro que los programas incluyan la API WebSQL.

m1.png

Aún no se han revelado muchos detalles sobre estas vulnerabilidades, ni cómo explotarlas debido al proceso de divulgación de vulnerabilidad responsable; los investigadores mencionan que no divulgarán los detalles de la vulnerabilidad hasta los 90 días después del informe, el cual se dio el 16 de noviembre del 2019.

Recomendaciones:

  • Siempre es recomendable mantener nuestro programa a la última versión estable disponible, en este caso se solucionan las vulnerabilidades en Google Chrome 79.0.3945.79.
  • Por otro lado, en el caso de contar con un programa que haga uso de SQLite, es recomendable instalar los parches que han sido liberados el 13 de diciembre del 2019.

Referencias:

Compartir: