Безопасность баз данных: дайджест за апрель 2017

Лаборатория Касперского опубликовала отчет по кибератакам на 2016 год. За прошлый год зафиксировано 702 миллиона попыток использования эксплоитов, что на 24,54% больше чем в 2015. Более 297,000 пользователей по всему миру были атакованы при помощи уязвимостей нулевого дня.

Группа хакеров, называющая себя «Shadow Brokers», опубликовала третий архив с эксплоитами, полученными в ходе утечки в Агентстве национальной безопасности США. Помимо описаний уязвимостей нулевого дня операционных систем Windows Vista/2008/XP/2003, архив содержит эксплоиты для банковской системы SWIFT, предназначенного для безопасного проведения транзакций в финансовых учреждениях. Также слиты документы с описаниями архитектуры банковских систем и утилиты для извлечения SWIFT-сообщений и списков клиентов из СУБД Oracle.

Технологический партнер AWS Threat Stack предоставил результаты анализа более 200 компаний, пользующихся приложениями AWS. Три четверти компаний содержат как минимум одну критическую ошибку в настройке, которая может привести к получению доступа к консоли управления AWS или использоваться для маскировки вредоносной деятельности от утилит для мониторинга.

Одна из самых явных ошибок, открытый SSH-туннель, зафиксирован у 73% проанализированных компаний. Это упущение позволяет злоумышленнику попытаться получить удаленный доступ к серверу, обходя VPN и фаерволл. Другая распространенная проблема в неиспользовании многофакторной аутентификации для пользователей AWS, что делает систему уязвимой к брутфорс-атакам. Согласно отчету, менее 13% компаний регулярно обновляют программное обеспечение. Некоторые пользуются версиями программ трехлетней давности.

Critical Patch от Oracle

Oracle выпустил очередной Critical Patch Update, устраняя 299 уязвимостей безопасности на различных продуктах, включая 39 фиксов для Oracle MySQL и 3 для Oracle Database Server.

Уязвимости в SAP HANA

SAP пропатчил критическую уязвимость (CVE-2017-7691), влияющую на поисковой движок TREX, интегрированный в HANA и дюжине других продуктов SAP. Уязвимость может быть эксплуатирована удаленно для инъекции вредоносного кода. Рейтинг опасности по CVSS v3 – 9,8.

Найдена еще одна уязвимость в SAP HANA. CVE-2016-6143 позволяет удаленному злоумышленнику внедрить произвольный код.

Релиз MySQL 5.6.36

Новая версия Oracle MySQL содержит исправления ряда багов, в основном в InnoDB и mysql_safe и следующие улучшения безопасности:

• Исправлены уязвимости в библиотеке OpenSSL.
• Функция mysql_options() C API теперь поддерживает опцию MYSQL_OPT_SSL_MODE. SSL_MODE_REQUIRED используется для безопасного соединения с сервером.

Назад Далее