Abo
  • Services:
Anzeige
Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht.
Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht. (Bild: Oracle)

Datenbanksoftware: Kritische, ungepatchte Zeroday-Lücke in MySQL-Server

Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht.
Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht. (Bild: Oracle)

Angreifer können MySQL-Installationen aus der Ferne mit Schadcode infizieren und so die Kontrolle über die Server übernehmen. Einen Patch für die kritische Sicherheitslücke gibt es noch nicht - jedenfalls nicht bei Oracle.

Der Sicherheitsforscher Dawid Golunski hat eine kritische Sicherheitslücke in der weit verbreiteten Datenbanksoftware MySQL gefunden. Angreifer können seiner Darstellung zufolge ohne Berechtigung manipulierte Konfigurationsdateien ablegen und so Oracle-MySQL-Server komplett übernehmen. Patches von Oracle gibt es bislang nicht.

Anzeige

Die Sicherheitslücke wurde nach Angaben von Golunski am 29. Juli 2016 an Oracle gemeldet und vom Sicherheitsteam bestätigt. Auch andere betroffene Hersteller wie PerconaDB und MariaDB sollen informiert worden sein. Die beiden Letzteren haben die Lücken am 30 August gepatcht, Oracle bislang nicht.

Angriff aus der Ferne

Die beiden Sicherheitslücken haben die Bezeichnungen CVE-2016-6662 und CVE-2016-6663 erhalten. Die erste der beiden ermöglicht es einem Angreifer, aus der Ferne oder am Rechner individuelle Datenbankeinstellungen in die MySQL-Einstellungen (my.conf) zu schreiben.

Betroffen sind nur Installationen, die in der Standardeinstellung laufen. Nach Angaben von Golunski können Angreifer legitimen Traffic über Phpmyadmin nachahmen oder Code per SQL-Injektionen einschleusen.

CVE-2016-6662 ermöglicht es Angreifern außerdem, die lokale My.conf-Datei zu verändern und bösartigen Angriffscode einzuschleusen, der dann mit Root-Rechten ausgeführt wird. Details zu der anderen Lücke wurden bislang nicht veröffentlicht. Die Lücke soll es über eine Rechteeskalation ermöglichen, Code mit Root-Rechten auszuführen, auch ohne File-Berechtigung.

Galunski hat bislang keinen kompletten Proof-of-Concept (POC) vorgestellt, weil die Lücke noch nicht geschlossen wurde. Möglicherweise erscheint ein Sicherheitspatch erst Ende Oktober an Oracles regulärem Patchday. Eine öffentliche Äußerung von Oracle dazu gibt es bislang nicht, wir haben bei dem Unternehmen angefragt. Uns wurde eine kurzfristige Stellungnahme versprochen.

Bis dahin können Nutzer das Problem begrenzen, indem sie sicherstellen, dass keine der MySQL-Konfigurationsdateien im Besitz von mysql_user ist. Außerdem sollten Nutzer eine Dummy-Version von my.cnf erstellen, die im Besitz von Root sei, aber nicht genutzt werde, schreibt Galunski.

Nachtrag vom 14. September 2016, 14:01 Uhr

Oracle hat gepatchte Versionen von MySQL veröffentlicht, eine öffentliche Stellungnahme des Unternehmens gibt es aber noch nicht. Aktuelle Versionen sind 5.5.52, 5.6.33 und 5.7.15.


eye home zur Startseite
scroogie 14. Sep 2016

Nope. Folgende gelten z.B. für mysql 5.5: /etc/my.cnf Global options /etc/mysql...

phade 13. Sep 2016

"As temporary mitigations, users should ensure that no MySQL config files are owned by...

yoyoyo 13. Sep 2016

Wer glaubt denn bitte wirklich Oracle interessiert sich dafür ob jemand MySQL benutzt...



Anzeige

Stellenmarkt
  1. Ostbayerische Technische Hochschule Amberg-Weiden (OTH), Amberg
  2. Robert Bosch GmbH, Leonberg
  3. VBL. Versorgungsanstalt des Bundes und der Länder, Karlsruhe
  4. Daimler AG, Affalterbach


Anzeige
Blu-ray-Angebote
  1. (u. a. 96 Hours Taken 3 6,97€, London Has Fallen 9,97€, Homefront 7,49€, Riddick 7,49€)
  2. (u. a. John Wick, Leon der Profi, Auf der Flucht, Das Schweigen der Lämmer)
  3. (u. a. Die große Bud Spencer-Box Blu-ray 16,97€, Club der roten Bänder 1. Staffel Blu-ray 14...

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  3. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation


  1. Rockstar Games

    Spieleklassiker Bully für Mobile-Geräte erhältlich

  2. Crimson Relive Grafiktreiber

    AMD lässt seine Radeon-Karten chillen und streamen

  3. Layout Engine

    Facebook portiert CSS-Flexbox für native Apps

  4. Creators Update für Windows 10

    Microsoft wird neue Sicherheitsfunktionen bieten

  5. Landgericht Traunstein

    Postfach im Impressum einer Webseite nicht ausreichend

  6. Big-Jim-Sammelfiguren

    Ebay-Verkäufer sind ehrlich geworden

  7. Musikstreaming

    Soundcloud startet Abo-Service in Deutschland

  8. Frankreich

    Filmförderung über "Youtube-Steuer"

  9. Galaxy S8

    Samsung will auf Klinkenbuchse verzichten

  10. Asteroid OS

    Erste Alpha-Version von offenem Smartwatch-OS veröffentlicht



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Star Wars Rogue One VR Angespielt: "S-Flügel in Angriffsposition!"
Star Wars Rogue One VR Angespielt
"S-Flügel in Angriffsposition!"
  1. Electronic Arts Battlefield 1 läuft offenbar viel besser als Battlefield 4
  2. Battlefield 1 im Test Kaiserschlacht und Kriegstauben der Spitzenklasse
  3. Electronic Arts Battlefield 1 erscheint mit 16er-USK

Kosmobits im Test: Tausch den Spielecontroller gegen einen Mikrocontroller!
Kosmobits im Test
Tausch den Spielecontroller gegen einen Mikrocontroller!
  1. HiFive 1 Entwicklerboard mit freiem RISC-Prozessor verfügbar
  2. Simatic IoT2020 Siemens stellt linuxfähigen Arduino-Klon vor
  3. Calliope Mini Mikrocontroller-Board für deutsche Schüler angekündigt

Gigaset Mobile Dock im Test: Das Smartphone wird DECT-fähig
Gigaset Mobile Dock im Test
Das Smartphone wird DECT-fähig

  1. ich habe dieses ego shooter spiele thema nie...

    Friko44 | 15:13

  2. Re: Hallo Samsung

    7hyrael | 15:13

  3. Re: Briefkastenfirma in Panama?

    Pupnacke | 15:13

  4. Re: und wenn man ...

    RicoBrassers | 15:11

  5. Re: Endlich!

    Trollversteher | 15:10


  1. 15:04

  2. 15:00

  3. 14:04

  4. 13:41

  5. 12:42

  6. 12:02

  7. 11:48

  8. 11:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel