На выходных были обнаружены уязвимости, которые могут вывести из строя онлайн-базы данных по всему Интернету, что побудило разработчиков принять меры.
В популярном программном обеспечении баз данных MySQL был обнаружен ряд уязвимостей, которые могут позволить злоумышленникам вывести из строя службу и лишить пользователей доступа.
Хотя первоначально исследователи считали, что существует пять уязвимостей, одна была признана дубликатом существующей уязвимости, а другая — неправильной конфигурацией.
Для отслеживания проблем были присвоены следующие идентификаторы общих уязвимостей и рисков (CVE):
- CVE-2012-5611 — MySQL (Linux) Переполнение буфера на основе стека PoC Zeroday
- CVE-2012-5612 — MySQL (Linux) переполнение кучи PoC Zeroday
- CVE-2012-5613 — Эксплойт Zeroday для повышения привилегий базы данных MySQL (Linux)
- CVE-2012-5614 — MySQL Отказ в обслуживании Zeroday PoC
- CVE-2012-5615 — Перечисление пользователей MySQL Remote Preauth Zeroday
Проект MySQL с открытым исходным кодом ранее был разработан одноименной шведской компанией, но позже был куплена Sun Microsystems в 2008 году и в дальнейшем перешла к другому владельцу, когда Oracle впоследствии купила Sun. 2010. Oracle пока не отреагировала на уязвимости, но замена MySQL, разработанная Monty Program — MariaDB, предназначенные для того, чтобы позволить администраторам эффективно заменить программное обеспечение базы данных в качестве совместимой альтернативы, быстро перешли на отвечать.
Вице-президент программы Монти по архитектуре Сергей Голубчик (который также работал в MySQL до ее покупки Sun/Oracle) сообщил о Список рассылки по безопасности с открытым исходным кодом что первая ошибка, CVE-2012-5611, является дубликатом более старой ошибки, CVE-2012-5579, которая может позволить пользователям аварийно завершить работу экземпляра SQL или выполнить произвольный код. Он был исправлен в последней версии MariaDB.
Однако Голубчик признал, что CVE-2012-5612 и CVE-2012-5614 могут привести к сбою экземпляра SQL, и работает над решением этой проблемы. обапроблемы.
CVE-2012-5615 позволяет злоумышленнику подтвердить, используется ли определенное имя пользователя экземпляром SQL, поскольку он немедленно отвечает «Доступ запрещен», если учетная запись не существует, но выдается другой ответ, если учетная запись существует, но предоставленные учетные данные недействительны. неправильно.
«Это вряд ли проблема «нулевого дня»; это было известно где-то десять лет. Но я посмотрю, что мы можем здесь сделать", - написал Голубчик. С тех пор он подал вопрос с разработчиками программы Монти как серьезную ошибку.
Что касается CVE-2012-5613, то он изначально был доведен до сведения форума Full Disclosure как означает повышение привилегий некоторых пользователей, не являющихся администраторами, до пользователей с административными правами. права. Для этого необходимо, чтобы пользователю, не являющемуся администратором, была предоставлена привилегия «ФАЙЛ» для записи в любое место файловой системы с теми же правами, что и экземпляр SQL.
Однако, как отметил Голубчик, в справочном руководстве MySQL подчеркивается, что под 6.1.3. Обеспечение безопасности MySQL от хакеров и 6.2.1. Привилегии, предоставляемые MySQL, что это известная проблема и базу данных никогда не следует настраивать таким образом.
Тем не менее, серверы, неправильно настроенные таким образом, уязвимы для атак.
Исследователь безопасности Эрик Романг осветил проблему в своем блоге, а также опубликовал видео, демонстрирующее, насколько уязвимы неправильно настроенные серверы.