Schwachstelle in beliebter Datenbank-Format SQLite
Gefährliche Sicherheitslücke in SQLite-Datenbanken bedroht Smartphones
Check Points Sicherheitsforscher haben eine Schwachstelle im weitverbreiteten Datenbank-System SQLite gefunden - Besonders die Iphones von Apple galten bislang als sicher - Eine seit vier Jahren bekannte Lücke macht sie nun anfällig für Kriminelle
Check Point Research, die Threat Intelligence-Abteilung von Check Point Software Technologies, wies auf der BlackHat Conference auf eine gefährliche Schwachstelle in dem beliebten Datenbank-Format SQLite hin. Es handelt sich um das weltweit am stärksten verbreite Datenbank-System und betrifft daher eine große Gruppe von Nutzern. Aufgrund der niedrigen Systemanforderungen befindet sich SQLite in Browsern wie Google Chrome, Safari und Firefox, aber vor allem in Betriebssystemen, wie Windows 10, Android und den Apple-Systemen, MacOS und iOS.
Die Sicherheitsforscher von Check Point demonstrierten die Sicherheitslücke anhand eines Iphones und hoben daher die Bedrohung besonders für iOS hervor. Dort kann nämlich die harmlose App ‚Kontakte‘ zum Einfallstor werden. Doch das ist nicht der einzige Grund, warum sich die Forscher auf das Iphone konzentrierten.
Eine Sicherheitslücke, die seit vier Jahren bekannt ist, kann unter iOS als Einfallstor dienen. Die Lücke wurde deshalb noch nicht vollständig geschlossen, weil iOS von Apple als geschlossenes Öko-System aufgefasst wird. Das bedeutet, dort gibt es nur Apps, die aus dem offiziellen Apple-Store stammen. Der Hack aber konnte bislang nur über Apps aus dritten Quellen durchgeführt werden, wie Apple sie nicht zulässt.
Den Forschern von Check Point gelang es nun, das Hindernis zu umgehen. Ein Angreifer kann eine beliebige SQL-Datenbank infizieren und von dort aus auf eine der Standard-Anwendung zugreifen, in diesem Fall die Apple-App ‚Kontakte. Über sie führt er dann schädliche Befehle aus. Auf diese Weise sendet eine eigentlich völlig vertrauenswürdige App innerhalb dieses Apple-Ökosystems den bösartigen Befehl.
Die Sicherheitsforscher von Check Point ersetzten einfach einzelne Teile der App ‚Kontakte‘ und nutzten den Umstand aus, dass beim Start von iOS zwar alle ausführbaren Dateien einer Sicherheitsüberprüfung unterzogen werden, dies aber nicht für SQLite-Datenbanken gilt.
Hinzugefügte Befehlszeilen werden daher nicht entdeckt und könnten unter anderem dazu dienen, Passwörter zu stehlen. Die Forscher missbrauchten in ihrer Demonstration die Suchfunktion der App als Auslöser, was bedeutet, dass der schädliche Befehl jedes Mal ausgelöst wurde, wenn der Nutzer einen Kontakt suchte.
(Check Point Software Technologies: ra)
eingetragen: 25.08.19
Newsletterlauf: 27.09.19
Check Point Software: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.