Bug no SQLite deixa o Chrome e outros navegadores vulneráveis aos invasores

17/12/2018 às 12:20

1 min de leitura

Uma nova ameaça ronda os navegadores, em especial os que utilizam a plataforma de desenvolvimento Chromium, da Google. Descoberta pela equipe de segurança Blade, da Tencent, a vulnerabilidade batizada de “Magellan” permite aos invasores executar remotamente códigos mal-intencionados nas máquinas da vítimas, além de possivelmente causar problemas de memória em programas e nos próprios browsers.

Isso acontece por conta de um bug na SQLite, uma linguagem de pesquisa de banco de dados que, por ser leve e ágil, é amplamente embutida em vários produtos por aí — é usada pela maioria dos programadores, incluindo os do Brave, do Chrome, do Vivaldi, do Opera e de outros softwares. O Mozilla Firefox e o Microsoft Edge, que não usam a API Web SQL, responsável por traduzir os dados para variantes do SQL, estariam um pouco mais protegidos — ainda que isso não os tornem completamente livres desse problema.

magellan Fonte: ZDNet

Os pesquisadores do Tencent Blade afirmam ter comunicado o time do SQLite já há algum tempo e uma correção foi lançada no dia 1º de dezembro, com o release do SQLite 3.26.0. O remendo foi também portado para o interior do Chromium (o Brave e o Opera estão operando com essa atualização) e lançado com o Chrome 71, na semana passada. Mas, ainda assim, representam perigo.

O Magellan pode aproveitar a brecha em outras aplicações

Os pesquisadores do Tencent Blade afirmam ter explorado com sucesso a vulnerabilidade Magellan em outras frentes, como o Google Home. Para isso, o invasor precisa ter conhecimento um pouco mais avançado sobre o funcionamento do SQL. Ainda assim, o perigo não deixa de ser menor.

Um dos maiores problemas reside no fato de muitos desenvolvedores raramente atualizarem as bibliotecas de seus apps — o que deixa vários ecossistemas com as versões antigas do SQLite. Muitos especialistas já vêm fazendo engenharia reversa para encontrar uma solução mais efetiva contra o Magellan, contudo, a melhor defesa mesmo por enquanto é manter os softwares sempre atualizados.