Abo
  • Services:
Anzeige
Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht.
Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht. (Bild: Oracle)

Datenbanksoftware: Kritische, ungepatchte Zeroday-Lücke in MySQL-Server

Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht.
Oracle hat zwei Sicherheitslücken in MySQL bislang nicht gepatcht. (Bild: Oracle)

Angreifer können MySQL-Installationen aus der Ferne mit Schadcode infizieren und so die Kontrolle über die Server übernehmen. Einen Patch für die kritische Sicherheitslücke gibt es noch nicht - jedenfalls nicht bei Oracle.

Der Sicherheitsforscher Dawid Golunski hat eine kritische Sicherheitslücke in der weit verbreiteten Datenbanksoftware MySQL gefunden. Angreifer können seiner Darstellung zufolge ohne Berechtigung manipulierte Konfigurationsdateien ablegen und so Oracle-MySQL-Server komplett übernehmen. Patches von Oracle gibt es bislang nicht.

Anzeige

Die Sicherheitslücke wurde nach Angaben von Golunski am 29. Juli 2016 an Oracle gemeldet und vom Sicherheitsteam bestätigt. Auch andere betroffene Hersteller wie PerconaDB und MariaDB sollen informiert worden sein. Die beiden Letzteren haben die Lücken am 30 August gepatcht, Oracle bislang nicht.

Angriff aus der Ferne

Die beiden Sicherheitslücken haben die Bezeichnungen CVE-2016-6662 und CVE-2016-6663 erhalten. Die erste der beiden ermöglicht es einem Angreifer, aus der Ferne oder am Rechner individuelle Datenbankeinstellungen in die MySQL-Einstellungen (my.conf) zu schreiben.

Betroffen sind nur Installationen, die in der Standardeinstellung laufen. Nach Angaben von Golunski können Angreifer legitimen Traffic über Phpmyadmin nachahmen oder Code per SQL-Injektionen einschleusen.

CVE-2016-6662 ermöglicht es Angreifern außerdem, die lokale My.conf-Datei zu verändern und bösartigen Angriffscode einzuschleusen, der dann mit Root-Rechten ausgeführt wird. Details zu der anderen Lücke wurden bislang nicht veröffentlicht. Die Lücke soll es über eine Rechteeskalation ermöglichen, Code mit Root-Rechten auszuführen, auch ohne File-Berechtigung.

Galunski hat bislang keinen kompletten Proof-of-Concept (POC) vorgestellt, weil die Lücke noch nicht geschlossen wurde. Möglicherweise erscheint ein Sicherheitspatch erst Ende Oktober an Oracles regulärem Patchday. Eine öffentliche Äußerung von Oracle dazu gibt es bislang nicht, wir haben bei dem Unternehmen angefragt. Uns wurde eine kurzfristige Stellungnahme versprochen.

Bis dahin können Nutzer das Problem begrenzen, indem sie sicherstellen, dass keine der MySQL-Konfigurationsdateien im Besitz von mysql_user ist. Außerdem sollten Nutzer eine Dummy-Version von my.cnf erstellen, die im Besitz von Root sei, aber nicht genutzt werde, schreibt Galunski.

Nachtrag vom 14. September 2016, 14:01 Uhr

Oracle hat gepatchte Versionen von MySQL veröffentlicht, eine öffentliche Stellungnahme des Unternehmens gibt es aber noch nicht. Aktuelle Versionen sind 5.5.52, 5.6.33 und 5.7.15.


eye home zur Startseite
scroogie 14. Sep 2016

Nope. Folgende gelten z.B. für mysql 5.5: /etc/my.cnf Global options /etc/mysql...

phade 13. Sep 2016

"As temporary mitigations, users should ensure that no MySQL config files are owned by...

yoyoyo 13. Sep 2016

Wer glaubt denn bitte wirklich Oracle interessiert sich dafür ob jemand MySQL benutzt...



Anzeige

Stellenmarkt
  1. Landeshauptstadt München, München
  2. Robert Bosch GmbH, Abstatt
  3. MeinAuto GmbH, Köln
  4. Robert Bosch GmbH, Schwieberdingen


Anzeige
Spiele-Angebote
  1. 42,99€
  2. (-20%) 23,99€
  3. 2,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Reddit

    Drei Alpha-Profilseiten sind online

  2. Souq.com

    Amazon gibt 750 Millionen Dollar für Übernahme aus

  3. Let's Play

    Facebook ermöglicht Livevideos vom PC

  4. Ryzen-CPU

    Ach AMD!

  5. Sensor

    Mit dem Kopfpflaster Gefühle lesen

  6. Übernahme

    Apple kauft iOS-Automatisierungs-Tool Workflow

  7. Linux-Desktop

    Gnome 3.24 erscheint mit Nachtmodus

  8. Freenet TV

    DVB-T2-Stick für Windows und MacOS ist da

  9. Instandsetzung

    Apple macht iPhone-Reparaturen teurer

  10. Energielabels

    Aus A+++ wird nur noch A



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
"Mehr Breitband für mich": Was wurde aus dem FTTH-Ausbau der Telekom für Selbstzahler?
"Mehr Breitband für mich"
Was wurde aus dem FTTH-Ausbau der Telekom für Selbstzahler?
  1. 50 MBit/s Dobrindt glaubt weiter an bundesweiten Ausbau bis 2018
  2. Breitbandgipfel 2.000 Euro für FTTH im Gewerbegebiet sind akzeptiert
  3. Breitbandgipfel Telekom hält 100 MBit/s für "im Moment ausreichend"

Vernetztes Fahren: Die Pseudo-Tests auf der Autobahn 9
Vernetztes Fahren
Die Pseudo-Tests auf der Autobahn 9
  1. Autonomes Fahren Die Ära der Kooperitis
  2. Neue Bedienungssysteme im Auto Es kribbelt in den Fingern
  3. Amazon Alexa im Auto, im Kinderzimmer und im Kühlschrank

Mitmachprojekt: Frostbeulen, zieht nach Österreich!
Mitmachprojekt
Frostbeulen, zieht nach Österreich!

  1. Re: Kein Hardware-Bug? Warum nicht?

    CrasherAtWeb | 11:29

  2. Re: Finde die Reaktion daneben

    TrudleR | 11:28

  3. Re: angemessene Bezahlung != leistungsgerechte...

    Dino13 | 11:28

  4. Re: Keine Ahnung warum die Leute Probleme haben.....

    HubertHans | 11:27

  5. Re: Ach Golem!

    Steggesepp | 11:27


  1. 11:30

  2. 10:35

  3. 10:06

  4. 09:04

  5. 08:33

  6. 08:13

  7. 07:42

  8. 07:27


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel