您現(xiàn)在的位置:首頁 >關(guān)于我們 >行業(yè)新聞 >未打補丁的漏洞可以被利用來獲得根訪問服務(wù)器
一個公開披露的漏洞在MySQL數(shù)據(jù)庫中,可以讓攻擊者完全妥協(xié)的一些服務(wù)器。該漏洞影響所有MySQL服務(wù)器在默認配置在所有版本的分支(5.7,5.6,5.5)包括最新的版本,以及導(dǎo)出數(shù)據(jù)庫MariaDB和Percona的數(shù)據(jù)庫MySQL,據(jù)Dawid Golunski說,研究人員發(fā)現(xiàn)它。缺陷,如 cve-2016-6662跟蹤,可以用來修改mysql的配置文件(我,CNF),導(dǎo)致攻擊者控制的圖書館被執(zhí)行以root權(quán)限如果MySQL進程開始與mysqld_safe包裝器腳本。
該漏洞可如果攻擊者已經(jīng)驗證連接到MySQL服務(wù)器執(zhí)行的,這是常見的共享主機的環(huán)境,或通過一個SQL注入漏洞,漏洞在網(wǎng)站的常見類型。golunski報告了漏洞的所有三個受影響的數(shù)據(jù)庫服務(wù)器的開發(fā)人員,但只有MariaDB和Percona DB迄今收到的補丁。Oracle,MySQL的開發(fā),獲悉,7月29日,根據(jù)研究人員,但尚未解決的缺陷。Oracle發(fā)布基于季度計劃和下一個預(yù)計十月安全更新。然而,由于MariaDB和Percona的補丁,8月底以來被公開,研究者決定發(fā)布有關(guān)漏洞星期一讓MySQL管理員可以采取行動來保護他們的服務(wù)器.Golunski的顧問包含概念利用有限的證據(jù),但有些部分已經(jīng)有意把防止濫用。研究者還報告了二漏洞Oracle,cve-2016-6663,可能襲擊的進一步簡化,但他沒有公布細節(jié)呢。
對cve-2016-6662披露了一些批評在專業(yè)論壇上,一些網(wǎng)友認為,這實際上是一個權(quán)限提升漏洞而不是一個遠程執(zhí)行代碼的一個描述,因為攻擊者將需要一定程度的對數(shù)據(jù)庫的訪問!白鳛闀簳r的緩解,用戶應(yīng)該確保沒有MySQL的配置文件是由MySQL用戶擁有,并創(chuàng)建根擁有虛擬my.cnf文件沒有被使用,”Golunski在他的報告中說。”這些都不是一個完整的解決方案,用戶應(yīng)該使用官方供應(yīng)商補丁,盡快為他們提供。
海騰公告海騰數(shù)據(jù)最新新聞公告
Copyright© 2004-2020 河南海騰電子技術(shù)有限公司 版權(quán)所有 經(jīng)營性ICP/ISP證 備案號:B1-20180452 豫公網(wǎng)安備 41019702002018號 電子營業(yè)執(zhí)照