資安研究人員Dawid Golunski周二(11/1)揭露了兩個攸關MySQL開放源碼資料庫的安全漏洞,將允許駭客取得系統最高權限,同時也殃及了基於MySQL的MariaDB與PerconaDB。

相關的漏洞編號分別為CVE-2016-6664與CVE-2016-5617,前者屬重大風險漏洞,後者則是高度(High)風險漏洞,都屬權限擴張漏洞,皆影響MySQL 5.5.51、MySQL 5.6.32及MySQL 5.7.14及之前的版本,以及基於這些版本的MariaDB與PerconaDB。

其中的CVE-2016-6664漏洞允許已存取資料庫的本地端系統使用者擴大權限,成為資料庫系統使用者,藉以存取伺服器上的所有資料庫,若再輔以CVE-2016-5617或其他的權限擴張漏洞,還可進一步成為根系統使用者,等於全面入侵了伺服器。

Golunski已打造出同時開採CVE-2016-6664與CVE-2016-5617的概念性攻擊程式,讓駭客即刻間取得系統最高權限,該程式還可搭配CVE-2016-6663或CVE-2016-5616等漏洞使用。

目前包括MySQL與PerconaDB都已修補上述兩個漏洞,MariaDB則計畫在下一次更新中修補。


Advertisement

更多 iThome相關內容