Abo
  • Services:
Anzeige
Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht.
Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht. (Bild: Oracle)

Datenbanksoftware: Kritische, ungepatchte Zeroday-Lücke in MySQL-Server

Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht.
Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht. (Bild: Oracle)

Angreifer können MySQL-Installationen aus der Ferne mit Schadcode infizieren und so die Kontrolle über die Server übernehmen. Einen Patch für die kritische Sicherheitslücke gibt es noch nicht - jedenfalls nicht bei Oracle.

Der Sicherheitsforscher Dawid Golunski hat eine kritische Sicherheitslücke in der weit verbreiteten Datenbanksoftware MySQL gefunden. Angreifer können seiner Darstellung zufolge ohne Berechtigung manipulierte Konfigurationsdateien ablegen und so Oracle-MySQL-Server komplett übernehmen. Patches von Oracle gibt es bislang nicht.

Anzeige

Die Sicherheitslücke wurde nach Angaben von Golunski am 29. Juli 2016 an Oracle gemeldet und vom Sicherheitsteam bestätigt. Auch andere betroffene Hersteller wie PerconaDB und MariaDB sollen informiert worden sein. Die beiden Letzteren haben die Lücken am 30 August gepatcht, Oracle bislang nicht.

Angriff aus der Ferne

Die beiden Sicherheitslücken haben die Bezeichnungen CVE-2016-6662 und CVE-2016-6663 erhalten. Die erste der beiden ermöglicht es einem Angreifer, aus der Ferne oder am Rechner individuelle Datenbankeinstellungen in die MySQL-Einstellungen (my.conf) zu schreiben.

Betroffen sind nur Installationen, die in der Standardeinstellung laufen. Nach Angaben von Golunski können Angreifer legitimen Traffic über Phpmyadmin nachahmen oder Code per SQL-Injektionen einschleusen.

CVE-2016-6662 ermöglicht es Angreifern außerdem, die lokale My.conf-Datei zu verändern und bösartigen Angriffscode einzuschleusen, der dann mit Root-Rechten ausgeführt wird. Details zu der anderen Lücke wurden bislang nicht veröffentlicht. Die Lücke soll es über eine Rechteeskalation ermöglichen, Code mit Root-Rechten auszuführen, auch ohne File-Berechtigung.

Galunski hat bislang keinen kompletten Proof-of-Concept (POC) vorgestellt, weil die Lücke noch nicht geschlossen wurde. Möglicherweise erscheint ein Sicherheitspatch erst Ende Oktober an Oracles regulärem Patchday. Eine öffentliche Äußerung von Oracle dazu gibt es bislang nicht, wir haben bei dem Unternehmen angefragt. Uns wurde eine kurzfristige Stellungnahme versprochen.

Bis dahin können Nutzer das Problem begrenzen, indem sie sicherstellen, dass keine der MySQL-Konfigurationsdateien im Besitz von mysql_user ist. Außerdem sollten Nutzer eine Dummy-Version von my.cnf erstellen, die im Besitz von Root sei, aber nicht genutzt werde, schreibt Galunski.

Nachtrag vom 14. September 2016, 14:01 Uhr

Oracle hat gepatchte Versionen von MySQL veröffentlicht, eine öffentliche Stellungnahme des Unternehmens gibt es aber noch nicht. Aktuelle Versionen sind 5.5.52, 5.6.33 und 5.7.15.


eye home zur Startseite
scroogie 14. Sep 2016

Nope. Folgende gelten z.B. für mysql 5.5: /etc/my.cnf Global options /etc/mysql...

phade 13. Sep 2016

"As temporary mitigations, users should ensure that no MySQL config files are owned by...

yoyoyo 13. Sep 2016

Wer glaubt denn bitte wirklich Oracle interessiert sich dafür ob jemand MySQL benutzt...



Anzeige

Stellenmarkt
  1. Salzgitter Mannesmann Handel GmbH, Düsseldorf
  2. cab Produkttechnik GmbH & Co. KG, Karlsruhe
  3. Radeberger Gruppe KG, Frankfurt am Main
  4. Robert Bosch GmbH, Stuttgart-Feuerbach


Anzeige
Blu-ray-Angebote
  1. Einzelne Folge für 2,99€ oder ganze Staffel für 19,99€ kaufen (Amazon Video)
  2. 12,85€ + 5€ FSK18-Versand

Folgen Sie uns
       


  1. Fahrdienst

    London stoppt Uber, Protest wächst

  2. Facebook

    Mark Zuckerberg lenkt im Streit mit Investoren ein

  3. Merged-Reality-Headset

    Intel stellt Project Alloy ein

  4. Teardown

    Glasrückseite des iPhone 8 kann zum Problem werden

  5. E-Mail

    Adobe veröffentlicht versehentlich privaten PGP-Key im Blog

  6. Die Woche im Video

    Schwachstellen, wohin man schaut

  7. UAV

    Matternet startet Drohnenlieferdienst in der Schweiz

  8. Joint Venture

    Microsoft und Facebook verlegen Seekabel mit 160 Terabit/s

  9. Remote Forensics

    BKA kann eigenen Staatstrojaner nicht einsetzen

  10. Datenbank

    Börsengang von MongoDB soll 100 Millionen US-Dollar bringen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Optionsbleed: Apache-Webserver blutet
Optionsbleed
Apache-Webserver blutet
  1. Apache-Sicherheitslücke Optionsbleed bereits 2014 entdeckt und übersehen
  2. Open Source Projekt Oracle will Java EE abgeben

Lenovo Thinkstation P320 Tiny im Test: Viel Leistung in der Zigarrenschachtel
Lenovo Thinkstation P320 Tiny im Test
Viel Leistung in der Zigarrenschachtel
  1. Adware Lenovo zahlt Millionenstrafe wegen Superfish
  2. Lenovo Smartphone- und Servergeschäft sorgen für Verlust
  3. Lenovo Patent beschreibt selbstheilendes Smartphone-Display

Wireless Qi: Wie die Ikealampe das iPhone lädt
Wireless Qi
Wie die Ikealampe das iPhone lädt
  1. Noch kein Standard Proprietäre Airpower-Matte für mehrere Apple-Geräte

  1. Naiv

    Pldoom | 05:17

  2. Bitte löschen.

    Pldoom | 05:16

  3. Re: Aber PGP ist schuld ...

    Pete Sabacker | 03:31

  4. Re: Wie sicher sind solche Qi-Spulen vor Attacken?

    Maatze | 02:48

  5. Re: "dem sei ohnehin nicht mehr zu helfen"

    LinuxMcBook | 02:45


  1. 15:37

  2. 15:08

  3. 14:28

  4. 13:28

  5. 11:03

  6. 09:03

  7. 17:43

  8. 17:25


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel