日前，由安华金和数据库攻防实验室（DBSec Labs）提交的DB2国际数据库漏洞获得CVE认证，编号为CVE-2018-1685，被收录于中国、美国的国家漏洞库。利用此漏洞，DB2的实例用户可以读取root用户最高权限密码文件，任意读取系统文件。

这是继去年安华金和成功挖出两个国际数据库品牌informix漏洞后，又一新发现，再次见证了安华金和在国内数据库安全领域的技术实力。

安华金和数据库攻防实验室一直投入对数据库的安全漏洞研究工作，多次取得在国际数据库漏洞上的研究成果，为国际数据库开发演进做出了很大的贡献。未来，实验室会逐步将数据库漏洞挖掘重点从国内延伸至国际。

本次挖掘的漏洞已经得到IBM确认，安华金和和攻防实验室漏洞研究员的名字被展示在其官网的Acknowlegement部分，研究员得到IBM官方感谢与认可。安华金和公司链接也在IBM 2018答谢专页中获得收录。

漏洞信息

数据库厂商：IBM

CVEID：CVE-2018-1685

漏洞类型：信息泄漏

威胁程度：CVSS Base Score： 6.2

发现漏洞数据库版本：IBM DB2 V9.7, V10.1, V10.5, and V11.1 的Unix系统平台  ；IBM DB2 Connect Server

漏洞危害：由于DB2 工具本身需要读取或修改系统配置文件，所以在某些情况下，需要获得更高权限才能操作，而这种权限的操作一旦被利用，黑客就可以通过DB2实例账户，精心构造参数来读取系统任何文件，甚至获取系统的关键账户信息。

官方修复建议：用户通过通过Fix Central下载临时修复补丁。具体修复版本取决于具体的DB2版本，分别是 DB2 V9.7 FP11, V10.1 FP6, V10.5 FP10 和 V11.1.3.3 iFix002.

安华紧急修复建议：从DB2 10.1版本开始DB2已不会完全依赖db2cacpy工具的功能，db2cacpy的相同功能可以通过DB2 配置助手db2ca以及DB2控制中心工具也可以实现。所以目前可以删除db2cacpy工具。

了解更多

DBSec Labs

安华金和数据库攻防实验室（DBSec Labs）自2010年11月立以来，专注安全攻防技术研究及漏洞挖掘工作，是我国一支独立的、持久的针对数据库安全漏洞、数据库攻击技术模拟和数据库安全防护技术进行研究的专业队伍。国家信息安全漏洞库（CNNVD）2017年发布的最新一批技术支撑合作计划成员名单，安华金和被正式授予CNNVD技术支撑单位。实验室始终秉承着“以攻促防”的技术理念，将研究成果融入到安华金和的数据库安全产品系列中。不断挖掘出国际数据库漏洞也见证了安华金和在国内数据库安全领域的技术研究实力。

DB2

IBM公司开发的一套关系型数据库管理系统主要应用于大型应用系统，具有较好的可伸缩性，可支持从大型机到单用户环境，应用于所有常见的服务器操作系统平台下。凭借着良好的并发性、稳定性、扩展性，DB2受到各行各业的青睐，尤其广泛应用于金融行业， 漏洞的存在可能导致关键业务系统的数据库安全风险，请相关用户及时检查并更新版本。

CVE

国际著名的安全漏洞库，也是对已知漏洞和安全缺陷的标准化名称的列表，它是一个由企业界、政府界和学术界综合参与的国际性组织，采取一种非盈利的组织形式，其使命是为了能更加快速而有效地鉴别、发现和修复软件产品的安全漏洞。