最新MySQL数据库漏洞情况通报

近日，互联网上披露了关于MySQL数据库存在代码执行漏洞（ CNNVD-201609-183 ）的情况。由于MySQL数据库默认配置存在一定缺陷，导致攻击者可利用该漏洞对数据库配置文件进行篡改，进而以管理员权限执行任意代码，远程控制受影响服务器。目前，Oracle官方网站发布声明将于10月发布关键补丁更新信息。

一、漏洞简介

Oracle MySQL是美国甲骨文（Oracle）公司的一套开源的关系数据库管理系统。

MySQL数据库中的配置文件（my.cnf）存在远程代码执行漏洞（漏洞编号：CNNVD-201609-183，CVE-2016-6662），以下版本受到该漏洞影响:MySQL 5.7.15及之前的版本，5.6.33及之前的版本，5.5.52及之前的版本。

CNNVD针对上述漏洞的利用原理进行梳理，总结如下：

MySQL服务在服务器上拥有两个进程，其中一个进程拥有管理员（root）权限，另一个拥有普通用户（MySQL）权限。拥有管理员（root）权限的进程可以加载并执行配置文件中所声明的动态连接库（so库），并在特定文件权限下通过sql语句或使用添加触发器等方法修改上述配置文件，造成在MySQL服务重启时，具有管理员（root）权限的进程加载并执行该动态连接库，执行任意代码，达到提升权限的目的。

二、漏洞危害

攻击者（本地或远程）可通过正常访问或恶意注入等手段，利用该漏洞对配置文件进行修改，从而以管理员权限执行任意代码，完全控制受影响的服务器。

2. 目前，使用MySQL内核的开源数据库MariaDB和PerconaDB受该漏洞影响，并于9月6日发布漏洞修复补丁。

三、修复措施

Oracle官方网站将于10月18日发布关键补丁更新，请可能受影响的用户及时关注信息，及时修复漏洞，消除隐患。

公告链接：http://www.oracle.com/technetwork/topics/security/alerts-086861.html

部署MySQL数据库的用户，应及时检查所使用的MySQL版本是否在受影响范围内。如受影响，可采取该缓解方案：关闭MySQL用户file权限。

赞 (0)

相关推荐

  • mysql 5.0.45 （修改）拒绝服务漏洞

    mysql 5.0.45 (修改)拒绝服务漏洞 /* * MySQL <=6.0 possibly affected * Kristian Erik Hermansen * Credit: Joe Gallo * You must have Alter permissions to exploit this bug! * Scenario: You found SQL injection, but you want to punch backend server * in the nuts ju

  • mysql5 注入漏洞

    复制代码 代码如下: select concat_ws(0x2f,information_schema.tables.table_schema,`information_schema`.`COLUMNS`.table_name,`information_schema`.`COLUMNS`.column_name) from `information_schema`.`COLUMNS` left join information_schema.tables on `information_sche

  • 最新MySQL数据库漏洞情况通报

    近日,互联网上披露了关于MySQL数据库存在代码执行漏洞( CNNVD-201609-183 )的情况.由于MySQL数据库默认配置存在一定缺陷,导致攻击者可利用该漏洞对数据库配置文件进行篡改,进而以管理员权限执行任意代码,远程控制受影响服务器.目前,Oracle官方网站发布声明将于10月发布关键补丁更新信息. 一.漏洞简介 Oracle MySQL是美国甲骨文(Oracle)公司的一套开源的关系数据库管理系统. MySQL数据库中的配置文件(my.cnf)存在远程代码执行漏洞(漏洞编号:CNN

  • mysql数据库 主从复制的配置方法

    MySQL支持单向.异步复制,复制过程中一个服务器充当主服务器,而一个或多个其它服务器充当从服务器.主服务器将更新写入二进制日志文件,并维 护日志文件的一个索引以跟踪日志循环.当一个从服务器连接到主服务器时,它通知主服务器从服务器在日志中读取的最后一次成功更新的位置.从服务器接收从那 时起发生的任何更新,然后封锁并等待主服务器通知下一次更新. 为什么使用主从复制? 1.主服务器/从服务器设置增加了健壮性.主服务器出现问题时,你可以切换到从服务器作为备份. 2.通过在主服务器和从服务器之间切分处理

  • Java数据库连接池的几种配置方法(以MySQL数据库为例)

    一.Tomcat配置数据源: 前提:需要将连接MySQL数据库驱动jar包放进Tomcat安装目录中common文件夹下的lib目录中 1.方法一:在WebRoot下面建文件夹META-INF,里面建一个文件context.xml,如下: <?xml version="1.0" encoding="UTF-8"?> <Context> <Resource name="jdbc/chaoshi" auth="

  • c++连接mysql数据库的两种方法(ADO连接和mysql api连接)

    第一种方法可以实现我当前的需求,通过连接不同的字符串来连接不同的数据库.暂时只连接了mysql,sqlserver,oracle,access.对于access,因为它创建表的SQL语句不太兼容标准SQL语句,需要做一些处理,这里暂时不说.第二种方法只能针对于mysql数据库的连接,不过用这种方法不用安装MyODBC服务器程序. 不管用哪种方法,首先需要安装Mysql数据库,安装方法请看"mysql安装及一些注意点".最好安装一个Navicat for mysql,方便操作mysql数

  • 用C语言操作MySQL数据库的通用方法

    在我们的web应用中,虽然PHP.JSP等脚本均提供了MySQL的接口,但是显然直接使用C语言具有更好的安全性和性能,在这篇文章中能够有所体现. 先看结构体: 以下代码块是用来连接数据库的通讯过程,要连接MYSQL,必须建立MYSQL实例,通过mysql_init初始化方能开始进行连接. typedef struct st_mysql { NET net; /* Communication parameters */ gptr connector_fd; /* ConnectorFd for S

  • MySQL数据库21条最佳性能优化经验

    今天,数据库的操作越来越成为整个应用的性能瓶颈了,这点对于Web应用尤其明显.关于数据库的性能,这并不只是DBA才需要担心的事,而这更是我们程序员需要去关注的事情. 当我们去设计数据库表结构,对操作数据库时(尤其是查表时的SQL语句),我们都需要注意数据操作的性能.这里,我们不会讲过多的SQL语句的优化,而只是针对MySQL这一Web应用最多的数据库.希望下面的这些优化技巧对你有用. 1. 为查询缓存优化你的查询 大多数的MySQL服务器都开启了查询缓存.这是提高性最有效的方法之一,而且这是被M

  • Mysql数据库性能优化一

    Mysql数据库性能优化一

    今天,数据库的操作越来越成为整个应用的性能瓶颈了,这点对于Web应用尤其明显.关于数据库的性能,这并不只是DBA才需要担心的事,而这更是我们程序员需要去关注的事情.当我们去设计数据库表结构,对操作数据库时(尤其是查表时的SQL语句),我们都需要注意数据操作的性能.这里,我们不会讲过多的SQL语句的优化,而只是针对MySQL这一Web应用最多的数据库. mysql的性能优化无法一蹴而就,必须一步一步慢慢来,从各个方面进行优化,最终性能就会有大的提升. Mysql数据库的优化技术 对mysql优化是

  • MySQL数据库表修复 MyISAM

    一:MySQL中MyISAM表损坏原因总结: 1. 服务器突然断电导致数据文件损坏;强制关机,没有先关闭mysql 服务;mysqld 进程在写表时被杀掉. 2. 磁盘损坏. 3. 服务器死机. 4. mysql 本身的bug . 二:MySQL中MyISAM表损坏的症状总结: 1 .查询数据时报出错误:Incorrect key file for table: '...'. Try to repair it 2 .查询不能在表中找到行或返回不完全的数据. 3 .Error: Table '..

  • MySQL数据库的高可用方案总结

    MySQL数据库的高可用方案总结

    高可用架构对于互联网服务基本是标配,无论是应用服务还是数据库服务都需要做到高可用.虽然互联网服务号称7*24小时不间断服务,但多多少少有一些时候服务不可用,比如某些时候网页打不开,百度不能搜索或者无法发微博,发微信等.一般而言,衡量高可用做到什么程度可以通过一年内服务不可用时间作为参考,要做到3个9的可用性,一年内只能累计有8个小时不可服务,而如果要做到5个9的可用性,则一年内只能累计5分钟服务中断.所以虽说每个公司都说自己的服务是7*24不间断的,但实际上能做到5个9的屈指可数,甚至根本做不到

  • MySQL数据库备份方法说明

    在数据库表丢失或损坏的情况下,备份你的数据库是很重要的.如果发生系统崩溃,你肯定想能够将你的表尽可能丢失最少的数据恢复到崩溃发生时的状态.有时,正是MySQL管理员造成破坏.管理员已经知道表已破坏,用诸如vi或Emacs等编辑器试图直接编辑它们,这对表绝对不是件好事!  备份数据库两个主要方法是用mysqldump程序或直接拷贝数据库文件(如用cp.cpio或tar等).每种方法都有其优缺点:  mysqldump与MySQL服务器协同操作.直接拷贝方法在服务器外部进行,并且你必须采取措施保证没

随机推荐