广受欢迎的SQLite数据库引擎中的安全漏洞会使数以千计的桌面和移动应用程序面临安全问题。该漏洞由腾讯的刀锋安全团队发现，这个漏洞会造成远程代码执行，泄漏程序内存地址或导致程序崩溃。

由于SQLite嵌入在数千个应用程序中，因此该漏洞会影响各种软件，从物联网设备到桌面软件，从Web浏览器到Android和iOS应用程序。

根据腾讯刀锋研究人员的说法，如果底层浏览器支持SQLite，将漏洞利用代码转换为常规SQL语法的Web SQL API，通过访问网页就可以远程利用此漏洞。

Firefox和Edge不支持此API，但Chromium开源浏览器引擎支持此API，这意味着像Chrome 、Vivaldi、Opera和Brave等基于Chromium的浏览器都会受到影响。

Web浏览器成了最大的攻击面，且Google Home等其他应用程序也会受到影响。腾讯刀锋团队在一份安全公告中表示：“我们成功利用了这个漏洞的Google Home 。”

腾讯刀锋研究人员表示，他们在今年秋季早些时候向SQLite团队报告了此问题。于12月1日发布的SQLite 3.26.0，修复了该漏洞。修复程序也被移植到Chromium内部，且在上周发布的Google Chrome 71中也修补了该漏洞。

像Vivaldi、Opera和Brave这样基于Chromium的旧版本浏览器，也很可能受到影响。

虽然Firefox不支持Web SQL，但也会受到影响，因为它附带了一个本地可访问的SQLite数据库，本地攻击者可滥用此漏洞来执行代码。

即使SQLite团队发布了修复程序，但许多应用程序在未来几年很可能受到攻击。将任何桌面、移动或Web应用程序的底层数据库更新都是一个危险的过程，可能导致数据损坏，所以大多数程序员都不会更新。应用程序开发人员很少更新库及其应用程序的组件，因此这个漏洞持续危害性比较大。

由于这个原因，腾讯刀锋团队表示暂时不会发布任何POC。尽管如此，其他安全研究人员已经开始梳理SQLite补丁，对其进行逆向，了解漏洞成因。该漏洞被命名为Magellan。