Безопасность баз данных: Дайджест за сентябрь 2016

Хакерские атаки

Сентябрь запомнился серией взломов и самой масштабной в истории DDoS-атакой с траффиком 620ГБ/с. Специалисты Akamai Technologies опасаются, что DDoS-атаки совершенствуются и выходят на новый уровень. Они утверждают, что ботнет с такими способностями был замечен впервые.

Группировка “Fancy Bear” снова взломала Всемирное антидопинговое агентство (ВАДА). Предыдущая атака была осуществлена путем эксплуатации SQL-инъекции, а на этот раз ­хакеры осуществили перехват аккаунта сотрудника агентства. Украденная и опубликованная в свободном доступе информация содержит медицинские данные атлетов, что уже стало поводом для серии скандалов после того, как выяснилось, что агентство укрывало достоверные данные.

Среди прочих громких событий – масштабные утечки персональных данных: Rambler (100 млн аккаунтов), Last.fm (43 млн), QIP.ru (33 млн). Рекорд в этом месяце принадлежит Yahoo с 500 млн украденных аккаунтов.

Взлом всемирно известного гиганта Yahoo осуществила профессиональная команда. Хакеры тщательно отобрали жертв среди сотрудников компании, используя все правила социальной инженерии, и отослали им письма с вредоносной программой. После небольшого фишинга для получения паролей других сотрудников, хакеры получили доступ к конфиденциальной информации. Вся операция заняла более двух лет.

Украдены имена пользователей почтового сервиса Yahoo, даты рождения, телефонные номера, зашифрованные пароли вместе с секретными вопросами и ответами, которые могут быть использованы для взлома других аккаунтов жертв взлома. Yahoo рекомендует своим пользователям поменять пароли в целях предосторожности.

Безопасность баз данных

Веб-ресурс с базой вредоносных кодов www.exploit-db.com пополнился двумя эксплойтами для MySQL и ее производных продуктов. Первый разработан для MySQL 5.5.45 на Windows (x64), позволяет заполучить идентификационные данные. Второй предназначен для использования нашумевшей уязвимости CVE-2016-6662 на MySQL/MarinaDB/PerconaDB предпоследних версий. Эксплойт позволяет внедрить произвольный код или повысить привилегии.

Подверженные версии: Oracle MySQL 5.5.48, 5.6.29, 5.7.11 и более ранние; MariaDB до 10.0.25, 10.1.14

Краткое описание: Уязвимость в компоненте сервера Connections позволяет удаленному атакующему получить доступ к конфиденциальным данным.

Уровень опасности CVSS: 3.7 – Низкий

Подверженные версии: Oracle MySQL 5.5.52, 5.6.33, 5.7.15 и ранее; MariaDB до 5.5.51, 10.0.27 и 10.1.17; Percona Server ранее 5.5.51-38.1, 5.6.32-78.0, 5.7.14-7

Краткое описание: Позволяет локальному пользователю создать произвольную конфигурацию и обойти определенные защитные механизмы установкой general_log_file  в конфигурацию my.cnf. Уязвимость может быть использована для выполнения произвольного кода с root-привилегиями путем установки malloc_lib.

Уровень опасности CVSS:  8.8 – Высокий

В дайджесте предыдущего месяца мы упоминали CVE-2016-6662. Проблема решена в MySQL 5.7.15. Обновите СУБД, если пользуетесь более ранней версией, поскольку эксплойт для данной уязвимости в свободном доступе в сети.

В сентябре состоялся релиз MariaDB 10.1.18. Обновление исправляет множество багов и крэшей. CVE-2016-6662 также устранен, начиная с версии 10.1.17.

Кроме того, выпущена бета-версия MariaDB 10.2.2, которая содержит новые функции окон (LEAD, LAG, NTH_VALUE, FIRST_VALUE, LAST_VALUE), исправления багов, а также другие улучшения предыдущей версии.

Обновленная эксплуатационная версия решает некоторые известные проблемы и содержит улучшения производительности и стабильности, доработки утилит gpdbstore, gpcheckcat, gpload, протокола External Table s3, расширения MADlib.

PostgreSQL 9.6 содержит существенные улучшения производительности, в особенности для масштабирования серверов с множественными разъемами центрального процесса. Остальные изменения включают:

• Параллельное выполнение последовательного сканирования, соединений.
• В функции копирования теперь есть поддержка множественных синхронизированных резервных серверов.
• В модуле postgres_fdwпоявилась поддержка удаленного соединения, сортировка, запросов UPDATE и DELETE.
• В full-text search теперь есть возможность поиска по фразам.

Назад Далее