Hace pocos días los investigadores de seguridad de la compañía china Tencent presentaron una nueva versión de una serie de vulnerabilidades (CVE-2019-13734) la cual denominaron como Magellan 2.0, que se revela después de un año y una semana de la divulgación de la serie de vulnerabilidades Magellan en 2018.

Magellan 2.0 permite lograr la ejecución del código al procesar DBMS SQLite de una determinada forma de sentencias SQL. La vulnerabilidad es notable porque permite atacar de forma remota el navegador Chrome y obtener control sobre el sistema del usuario al abrir páginas web controladas por un atacante. Además que al ejecutar con éxito la operación SQLite, el atacante puede perder memoria del programa y eventualmente terminar provocando bloqueos del programa.

El ataque a Chrome/Chromium se lleva a cabo a través de la API de WebSQL, cuyo controlador se basa en el código SQLite. Un ataque a otras aplicaciones solo es posible si permiten la transferencia de construcciones SQL desde el exterior a SQLite, por ejemplo, usan SQLite como formato para intercambiar datos. Firefox no se ve afectado, ya que Mozilla se negó a implementar WebSQL a favor de la API IndexedDB.

“Estas vulnerabilidades fueron encontradas por Tencent Blade Team y verificadas para poder explotar la ejecución remota de código en el proceso de renderizado de Chromium”, reveló Tencent en un aviso .

Como una base de datos bien conocida, SQLite se usa ampliamente en todos los sistemas operativos y softwares modernos, por lo que esta vulnerabilidad tiene una amplia gama de influencia. SQLite y Google han confirmado y corregido estas vulnerabilidades. No revelaremos ningún detalle de la vulnerabilidad en este momento, y estamos presionando a otros proveedores para que solucionen esta vulnerabilidad lo antes posible “.

Magellan puede afectar a los navegadores con WebSQL habilitado que cumplan una de las siguientes condiciones:

Chrome / Chromium anterior a la versión 79.0.3945.79 (en adelante, “versión anterior”).

• Dispositivos inteligentes que utilizan la versión anterior de Chrome / Chromium.
• Navegadores creados con versiones antiguas de Chromium / Webview.
• Aplicaciones de Android que usan la versión anterior de Webview y pueden acceder a cualquier página web.
• Software que usa la versión anterior de Chromium y puede acceder a cualquier página web.

Además, SQLite también identificó 4 problemas menos peligrosos ( CVE-2019-13750 , CVE-2019-13751 , CVE-2019-13752 , CVE-2019-13753 ), que pueden provocar fugas de información y eludir restricciones (pueden usarse como factores relacionados para atacar a Chrome).

Sin embargo, el equipo de Tencent dice que los usuarios no tienen motivos para preocuparse, ya que ya han notificado estos problemas a Google y al equipo de SQLite.

A partir de SQLite 3.26.0, el modo SQLITE_DBCONFIG_DEFENSIVE se puede utilizar como solución alternativa para la protección, lo que prohíbe la escritura en tablas de sombra y se recomienda su inclusión al procesar consultas SQL externas en SQLite.

La compañía de seguridad china dará a conocer más detalles sobre las vulnerabilidades de Magellan 2.0 en los próximos meses. A partir de ahora, los desarrolladores deben actualizar sus aplicaciones.

Google solucionó el problema en el lanzamiento de Chrome 79.0.3945.79. En la base del código SQLite, el problema se solucionó el 17 de noviembre y en la base del código Chromium el 21 de noviembre.

Mientras que para SQlite el problema está presente en el código del motor de búsqueda de texto completo FTS3 y a través de la manipulación de tablas de sombra (tablas de sombra, un tipo especial de tablas virtuales con capacidad de escritura), puede provocar daños en el índice y desbordamientos del búfer. La información detallada sobre la técnica de operación se publicará en 90 días.

Todavía no se ha generado una nueva versión de SQLite con la corrección, la cual está prevista para ser liberada el 31 de diciembre).

En las distribuciones, la vulnerabilidad en la biblioteca SQLite permanece sin parches en Debian, Ubuntu, RHEL, openSUSE/SUSE, Arch Linux, Fedora.

Chromium en todas las distribuciones ya se ha actualizado y no es vulnerable, pero el problema puede cubrir varios navegadores y aplicaciones de terceros que usan el motor Chromium, así como aplicaciones de Android basadas en Webview.

Fuente: https://blade.tencent.com