4000 258 365
用户名:
密码:
忘记密码? 尚未注册?
邮箱地址:
密码:
确认密码:
手机:
单位:
注册

某国产数据库发现超高危漏洞 可能存在重大风险

作者:安华金和 发布时间:2017-07-19

近日,某国产数据库确认存在一超高危漏洞,可能导致重大安全风险。该漏洞被“国家信息安全漏洞库”(CNNVD)发布并得到数据库厂商官方确认,漏洞编号CNNVD-201702-977

这是目前该国产数据库被确认的唯一超高危漏洞,利用此漏洞可以直接夺取操作系统最高控制权限。

通常,我们按照对数据库的机密性、完整性和可用性的影响程度,对安全漏洞进行等级评定,可分为四个级别:低危-中危-高危-超危,其中,超危和高危漏洞必须及时处理,否则可能造成大规模系统性风险。这里从几个维度对本次超危漏洞进行分析,能够让大家对此漏洞有全面认识,并采取有效措施防范和补救。

漏洞产生原因

超危漏洞-CNNVD-201702-977主要是由两部分安全问题共同导致:

1、 在操作系统上数据库账号应该只能对database_home下的文件进行操作,但该数据库并没有在这部分做足够的限制;

2、 数据库会存在一些和操作系统上文件进行交互的函数,这部分函数的访问权限处理存在缺陷。

此漏洞的出现正是基于这两部分的安全问题,入侵者可以通过登录低权限的数据库账户,向操作系统启动文件夹中植入文件,系统自动启动该程序,数据库账户将直接获得操作系统的最高控制权。

漏洞危害

当入侵者通过利用该漏洞获取操作系统最高权限后,可以对操作系统控制下的所有的软件、应用、数据库等进行控制,可能严重影响业务运转或造成大规模数据泄露、篡改等事件。更严重的是,通过控制一个操作系统,可以以此为跳板,对整个局域网发起网络攻击,此操作系统沦为肉鸡。

棱镜门事件之后,国家进一步提出对信息化关键基础设施的国产化号召,去IOE的趋势蔓延各个行业。数据库系统作为存储数据资产的核心基础设施,更应重视。

本次CNNVD对这一超危漏洞的发布,请用户予以重视,及时检查更新,规避可能导致的大规模数据资产损失。同时,安华金和将持续关注相关数据库漏洞信息,及时预警通知。


分享到:
北京安华金和科技有限公司 ©2015 版权所有 ICP备10053980号 京公网安备11010802010569号