На фоне массивных утечек данных в предыдущих месяцах, октябрь выдался относительно спокойным.

Guccifer 2.0 заявил о взломе системы благотворительного фонда Clinton Foundation и выложил предположительно достоверные документы. На своем сайте хакер написал, что взлом был лишь вопросом времени, поскольку в штабе фонда Клинтона не придают большого значения информационной безопасности.

В организации Modern Business Systems произошла утечка данных. Скомпрометированы аккаунты 58 миллионов пользователей, включая имена, почтовые и IP-адреса, номера телефонов. Компания-разработчик игр Evony Gaming также стала жертвой взлома. Похищены данные 33 млн. пользователей с паролями и email-адресами.

Новые бреши в MySQL

В MySQL и ее производных PerconaDB, MariaDB обнаружены две серьезные уязвимости, позволяющие повысить привилегии пользователя. Разработчики уже выпустили обновления, устраняющие проблему.

CVE-2016-6663 и CVE-2016-6664 (в документации Oracle обозначены как CVE-2016-5616 и CVE-2016-5617 соответственно). CVE-2016-6663 упрощает эксплуатацию упомянутой в предыдущем дайджесте CVE-2016-6662. Ошибка позволяет пользователю с низким уровнем привилегий повысить его и выполнить произвольный код. Злоумышленник сможет эксплуатировать уязвимость, если ему удастся найти брешь в коде сайте и получить доступ к системе в качестве пользователя с низким уровнем привилегий. Также может быть использована в виртуальном хостинге, где у каждого пользователя есть доступ только к определенной базе данных.

CVE-2016-6663 может быть использован совместно с CVE-2016-6662 или CVE-2016-6664, что позволяет получить полномочия root-пользователя и скомпрометировать всю систему. Эксплоит выставлен в свободном доступе в интернете, появилось даже видео с подробными инструкциями, поэтому пользователям подверженных версий СУБД не следует медлить с обновлением.

Подвержены данным уязвимости Oracle MySQL версий до 5.5.51, 5.6.32, 5.7.14. Октябрьский Critical Patch Update решает обе проблемы. Percona также объявила об устранении уязвимостей в новой версии Percona Server. MariaDB пропатчила CVE-2016-6663, оставив без внимания CVE-2016-6664 до релиза следующей отладочной версии, аргументировав свое решение невозможностью ее эксплуатации без CVE-2016-6663.

Фиксы от Oracle

Oracle провозгласил релиз нового Critical PatchUpdate, который устраняет 253 уязвимости на различных платформах. Для Oracle Database Server патч содержит 12 исправлений брешей в безопасности, одна из которых может быть использована удаленно без требования данных пользователя.

CVE № Компонент Требуемые привилегии Протокол Удаленное использование без аутентификации Рейтинг CVSS Вектор атаки Уровень требуемых привилегий Подверженные версии
CVE-2016-5555 OJVM Create Session, Create Procedure Множество протоколов Нет 9.1 Удаленный Высокий 11.2.0.4, 12.1.0.2
CVE-2016-5572 Kernel PDB Create Session Oracle Net Нет 6.4 Локальный Высокий 12.1.0.2
CVE-2016-5497 RDBMS Security Create Session Oracle Net Нет 6.4 Локальный Высокий 12.1.0.2
CVE-2010-5312 Application Express Не требуются HTTP Да 6.1 Удаленный Не требуются до 5.0.4.00.07
CVE-2016-5516 Kernel PDB DBMS_PDB EXEC_SQL Oracle Net Нет 6.0 Локальный Высокий 12.1.0.2
CVE-2016-5505 RDBMS Programmable Interface Create Session Oracle Net Нет 5.5 Локальный Низкий 11.2.0.4, 12.1.0.2
CVE-2016-5498 RDBMS Security Create Session Oracle Net Нет 3.3 Локальный Низкий 11.2.0.4, 12.1.0.2
CVE-2016-5499 RDBMS Security Create Session Oracle Net Нет 3.3 Локальный Низкий 11.2.0.4, 12.1.0.2
CVE-2016-3562 RDBMS Security и SQL*Plus DBA Oracle Net Нет 2.4 Удаленный Высокий 11.2.0.4, 12.1.0.2

Oracle MySQL

Для Oracle MySQL устранена 31 уязвимость, 2 из которых могут быть использованы удаленно без аутентификации.

CVE № Компонент Подкомпонент Протокол Удаленное использование без аутентификации Рейтинг CVSS Вектор атаки Уровень требуемых привилегий Подверженные версии
CVE-2016-6304 MySQL Server Server: Security: Encryption MySQL Protocol Да 7.5 Удаленный Не требуется 5.6.33, 5.7.15 и более ранние
CVE-2016-6662 MySQL Server Server: Logging Не требуется Нет 7.2 Локальный Высокий 5.5.52, 5.6.33, 5.7.15 и более ранние
CVE-2016-5617 MySQL Server Server: Error Handling Не требуется Нет 7.0 Локальный Низкий 5.5.51, 5.6.32, 5.7.14 и более ранние
CVE-2016-5616 MySQL Server Server: MyISAM Не требуется Нет 7.0 Локальный Низкий 5.5.51, 5.6.32, 5.7.14 и более ранние
CVE-2016-5625 MySQL Server Server: Packaging Не требуется Нет 7.0 Локальный Низкий 5.7.14 и более ранние
CVE-2016-5609 MySQL Server Server: DML MySQL Protocol Нет 6.5 Удаленный Низкий 5.6.31, 5.7.13 и более ранние
CVE-2016-5612 MySQL Server Server: DML MySQL Protocol Нет 6.5 Удаленный Низкий 5.5.50, 5.6.31, 5.7.13 и более ранние
CVE-2016-5624 MySQL Server Server: DML MySQL Protocol Нет 6.5 Удаленный Низкий 5.5.51 и более ранние
CVE-2016-5626 MySQL Server Server: GIS MySQL Protocol Нет 6.5 Удаленный Низкий 5.5.51, 5.6.32, 5.7.14 и более ранние
CVE-2016-5627 MySQL Server Server: InnoDB MySQL Protocol Нет 6.5 Удаленный Низкий 5.6.31, 5.7.13 и более ранние
CVE-2016-3492 MySQL Server Server: Optimizer MySQL Protocol Нет 6.5 Удаленный Низкий 5.5.51, 5.6.32, 5.7.14 an и более ранние d earlier
CVE-2016-5598 MySQL Connector Connector/Python MySQL Protocol Да 5.6 Удаленный Не требуется 2.1.3, 2.0.4 и более ранние
CVE-2016-7440 MySQL Server Server: Security: Encryption Не требуется Нет 5.1 Локальный Не требуется 5.5.52, 5.6.33, 5.7.15 и более ранние
CVE-2016-5628 MySQL Server Server: DML MySQL Protocol Нет 4.9 Удаленный Высокий 5.7.13 и более ранние
CVE-2016-5629 MySQL Server Server: Federated MySQL Protocol Нет 4.9 Удаленный Высокий 5.5.51, 5.6.32, 5.7.14 и более ранние
CVE-2016-3495 MySQL Server Server: InnoDB MySQL Protocol Нет 4.9 Удаленный Высокий 5.7.13 и более ранние
CVE-2016-5630 MySQL Server Server: InnoDB MySQL Protocol Нет 4.9 Удаленный Высокий 5.6.31, 5.7.13 и более ранние
CVE-2016-5507 MySQL Server Server: InnoDB MySQL Protocol Нет 4.9 Удаленный Высокий 5.6.32, 5.7.14 и более ранние
CVE-2016-5631 MySQL Server Server: Memcached MySQL Protocol Нет 4.9 Удаленный Высокий 5.7.13 и более ранние
CVE-2016-5632 MySQL Server Server: Optimizer MySQL Protocol Нет 4.9 Удаленный Высокий 5.7.14 и более ранние
CVE-2016-5633 MySQL Server Server: Performance Schema MySQL Protocol Нет 4.9 Удаленный Высокий 5.7.13 и более ранние
CVE-2016-5634 MySQL Server Server: RBR MySQL Protocol Нет 4.9 Удаленный Высокий 5.7.13 и более ранние
CVE-2016-5635 MySQL Server Server: Security: Audit MySQL Protocol Нет 4.9 Удаленный Высокий 5.7.13 и более ранние
CVE-2016-8289 MySQL Server Server: InnoDB Не требуется Нет 4.7 Локальный Высокий 5.7.13 и более ранние
CVE-2016-8287 MySQL Server Server: Replication MySQL Protocol Нет 4.5 Удаленный Высокий 5.7.13 и более ранние
CVE-2016-8290 MySQL Server Server: Performance Schema MySQL Protocol Нет 4.4 Удаленный Высокий 5.7.13 и более ранние
CVE-2016-5584 MySQL Server Server: Security: Encryption MySQL Protocol Нет 4.4 Удаленный Высокий 5.5.52, 5.6.33, 5.7.15 и более ранние
CVE-2016-8283 MySQL Server Server: Types MySQL Protocol Нет 4.3 Удаленный Низкий 5.5.51, 5.6.32, 5.7.14 и более ранние
CVE-2016-8288 MySQL Server Server: InnoDB Plugin MySQL Protocol Нет 3.1 Удаленный Низкий 5.6.30, 5.7.12 и более ранние
CVE-2016-8286 MySQL Server Server: Security: Privileges MySQL Protocol Нет 3.1 Удаленный Низкий 5.7.14 и более ранние
CVE-2016-8284 MySQL Server Server: Replication Не требуется Нет 1.8 Локальный Высокий 5.6.31, 5.7.13 и более ранние

Greenplum Database 4.3.10.0

Новая версия вводит новые функции, разрешает известные проблемы и содержит улучшения в работе СУБД.

Добавление символов \, ‘, <,> во внешние таблицы с протоколом gphdfs представляло собой потенциальную уязвимость. Проблема была разрешена.

MariaDB 10.0.28

Новая версия содержит обновления для XtraDB, TokuDB, Innodb, Performance Schema и устраняет ряд уязвимостей:

CVE-2016-5616  (CVE-2016-6663 у Oracle) позволяет локальному пользователю воздействовать на конфиденциальность, целостность и доступность данных путем атаки на подкомпонент СУБД Server: MyISAM.

Уровень опасности по CVSS: 7.0

CVE-2016-5624  позволяет удаленному пользователю изменить настройки доступности данных. Вектор атаки связан с DML.

Уровень опасности по CVSS: 6.5

CVE-2016-5626 позволяет аутентифицированному пользователю изменить настройки доступности данных. Вектор атаки связан с GIS.

Уровень опасности по CVSS: 6.5

CVE-2016-3492 позволяет локальному пользователю изменить настройки доступности данных путем атаки на подкомпонент СУБД Server: Optimizer.

Уровень опасности по CVSS: 6.5

CVE-2016-5629 позволяет администратору удаленно изменить настройки доступности данных, воздействуя на подкомпонент Server: Federated.

Уровень опасности по CVSS: 4.9

CVE-2016-8283 позволяет аутентифицированному пользователю изменить настройки доступности данных, воздействуя на подкомпонент Server: Types.

Уровень опасности по CVSS: 4.3

CVE-2016-7440 – информации о данной уязвимости пока нет в свободном доступе.

CVE-2016-5584 позволяет администратору удаленно воздействовать на конфиденциальность данных. Вектор атаки направлен на Server: Security: Encryption.

Уровень опасности по CVSS: 4.4

MySQL 5.6.34

Новый релиз содержит некоторые изменения и улучшения, касательные безопасности системы.

Системная переменная secure_file_priv, которая используется для ограничения операций импорта и экспорта данных, теперь может принимать значения NULL для отключения всех операций импорта/экспорта. Сервер проверяет значение secure_file_priv при запуске и записывает уведомление в журнал регистрации ошибок, если переменная небезопасна.

В предыдущих версиях значение системной переменной secure_file_priv было пустым по умолчанию. Теперь исходное значение задается согласно величине опции INSTALL_LAYOUT CMake.

С более подробной информацией вы можете ознакомиться в сопроводительной записке к апдейту.

Percona Server 5.7.15-9

Обновление содержит фиксы для  ряда багов, включая утечки, происходившие при ошибке создания подчиненного потока в многопоточной системе. Также устранены утечки памяти в Audit Log Plugin.

 
Комментарии