搜索

[1648] 2019-12-19_关于Chrome浏览器WebSQL和SQLite存在任意代码执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2019-12-19_关于Chrome浏览器WebSQL和SQLite存在任意代码执行漏洞的安全公告 关 于 C h r o m e 浏 览 器 W e b S Q L 和 S Q L i t e 存 在 任 意 代 码 执 行 漏 洞 的 安 全 公 告 原 创   C N V D   C N V D 漏 洞 平 台   2 0 1 9 - 1 2 - 1 9 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 9 - 0 0 4 0 2 0 1 9 年 1 2 月 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 由 腾 讯 安 全 平 台 部 T e n c e n t   B l a d e   T e a m 发 现 并 报 告 的 多 个 C h r o m e 浏 览 器 W e b S Q L 组 件 和 S Q L i t e 远 程 代 码 执 行 漏 洞 （ C N V D - 2 0 1 9 - 4 5 9 0 8 ， 对 应 C V E - 2 0 1 9 - 1 3 7 3 4 ,   C V E - 2 0 1 9 - 1 3 7 5 0 , C V E - 2 0 1 9 - 1 3 7 5 1 ,   C V E - 2 0 1 9 - 1 3 7 5 2 , C V E - 2 0 1 9 - 1 3 7 5 3 ） 。 攻 击 者 利 用 该 漏 洞 ， 通 过 社 工 手 段 诱 使 用 户 访 问 恶 意 网 页 ， 实 现 对 用 户 浏 览 器 网 页 进 程 的 权 限 控 制 和 代 码 执 行 。 目 前 谷 歌 公 司 、 S Q L i t e 已 发 布 补 丁 完 成 修 复 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 S Q L i t e 是 由 D . R i c h a r d H i p p 建 立 的 一 个 开 源 关 系 数 据 库 ， 该 数 据 库 兼 容 A C I D ， 具 有 多 语 言 支 持 、 零 配 置 、 轻 量 化 、 执 行 效 率 高 的 特 点 ， 在 网 页 浏 览 器 、 操 作 系 统 、 嵌 入 式 系 统 中 得 到 了 广 泛 使 用 。 C h r o m e 是 一 款 由 G o o g l e 开 发 的 浏 览 器 ， 提 供 了 由 S Q L i t e 数 据 库 支 持 的 W e b S Q L 功 能 ， 支 持 网 页 脚 本 对 S Q L 语 句 的 执 行 。 2 0 1 9 年 1 2 月 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 由 腾 讯 安 全 平 台 部 T e n c e n t   B l a d e   T e a m 发 现 并 报 告 的 多 个 S Q L i t e 、 C h r o m e 浏 览 器 W e b S Q L 组 件 远 程 代 码 执 行 漏 洞 。 由 于 S Q L i t e 表 结 构 在 处 理 过 程 中 时 ， 存 在 多 个 逻 辑 漏 洞 和 内 存 破 坏 漏 洞 ， 导 致 C h r o m e 浏 览 器 W e b S Q L 、 S Q L i t e 存 在 任 意 代 码 执 行 漏 洞 。 攻 击 者 利 用 该 漏 洞 ， 通 过 钓 鱼 邮 件 、 恶 意 短 信 等 社 工 手 段 诱 使 用 户 访 问 恶 意 网 页 ， 在 支 持 外 部 输 入 S Q L 语 句 和 使 用 S Q L i t e 组 件 的 软 件 上 实 现 代 码 执 行 ， 在 C h r o m e 浏 览 器 和 基 于 C h r o m i u m 开 发 的 浏 览 器 上 实 现 R e n d e r 权 限 的 任 意 代 码 执 行 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 根 据 官 方 公 告 情 况 ， 该 漏 洞 影 响 的 产 品 和 版 本 如 下 ： 1 、 C h r o m e 浏 览 器 7 9 . 0 . 3 9 4 5 . 7 9 以 下 版 本 2 、 使 用 C h r o m i u m 内 核 （ 7 9 . 0 . 3 9 4 5 . 7 9 以 下 ） 的 浏 览 器 3 、 使 用 S Q L i t e 官 方 版 本 且 未 更 新 2 0 1 9 年 1 2 月 4 日 补 丁 （ e 0 1 f d b f 9 ） 的 S Q L i t e 组 件 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 1 、 谷 歌 官 方 已 发 布 补 丁 修 复 此 漏 洞 ， C N V D 建 议 使 用 C h r o m e 浏 览 器 的 用 户 立 即 升 级 至 最 新 版 本 ： h t t p s : / / w w w . g o o g l e . c n / i n t l / z h - C N / c h r o m e / 2 、 使 用 C h r o m i u m 内 核 开 发 的 浏 览 器 厂 商 ， 需 将 内 核 版 本 更 新 至 官 方 稳 定 版 7 9 . 0 . 3 9 4 5 . 7 9 以 上 。 用 户 也 可 采 取 禁 用 W e b S Q L 模 块 或 单 独 合 入 补 丁 等 临 时 防 护 措 施 。 3 、 将 S Q L i t e 组 件 更 新 至 2 0 1 9 年 1 2 月 4 日 及 之 后 的 补 丁 。   附 参 考 链 接 ： h t t p s : / / c h r o m e r e l e a s e s . g o o g l e b l o g . c o m / 2 0 1 9 / 1 2 / s t a b l e - c h a n n e l - u p d a t e - f o r - d e s k t o p . h t m l h t t p s : / / w w w . s q l i t e . o r g / s r c / i n f o / e 0 1 f d b f 9 f 7 0 0 e 1 b d   感 谢 腾 讯 安 全 平 台 部 B l a d e   T e a m 对 本 公 告 提 供 的 技 术 支 持 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理