腾讯发现SQLite漏洞 将影响数千个应用程序

　　12月17日消息，据外媒ZDNet报道，腾讯Blade安全团队发现，SQLite存在漏洞，黑客可以利用它从而在用户的计算机上运行恶意代码，这会泄漏程序内存或导致程序崩溃。SQLite嵌入在数千个应用程序中，这些程序都会受到影响，包括Web浏览器、Android和iOS应用程序等。

　　腾讯Blade安全团队表示，如果底层浏览器支持SQLite和将漏洞利用代码转换为常规SQL语法的Web SQL API，就可以通过访问像网页这样简单的东西来远程利用此漏洞。火狐和Edge不支持此API，但基于Chromium的浏览器引擎支持此API。这意味着像Chrome，Vivaldi，Opera和Brave等都会受到影响。

　　据了解，腾讯Blade安全团队于今年秋季初就已经向SQLite团队报告了此问题。12月1，修复程序通过SQLite 3.26.0发布，并且于上周谷歌发布的Chrome 71版本加入到了Chromium内部。

　　虽然SQLite团队已经发布修复程序，但许多应用程序在未来几年仍然有可能遭受攻击。在移动或使用Web应用程序时，可能会导致数据损坏，进而继续出现漏洞。应用程序开发人员很少更新应用程序的组件部分，因此这个漏洞多年来一直存在。

　　基于这个原因，腾讯Blade安全团队表示暂时不会发布任何有关如何验证漏洞的代码。不过，其他安全研究人员已经开始梳理SQLite补丁以对其进行逆向工程，并了解漏洞是如何工作的。

　　此SQLite漏洞尚未收到CVE编号，腾讯Blade安全团队暂将其称为“麦哲伦”。