近日，某国产数据库确认存在一超高危漏洞，可能导致重大安全风险。该漏洞被“国家信息安全漏洞库”（CNNVD）发布并得到数据库厂商官方确认，漏洞编号CNNVD-201702-977。

这是目前该国产数据库被确认的唯一超高危漏洞，利用此漏洞可以直接夺取操作系统最高控制权限。

通常，我们按照对数据库的机密性、完整性和可用性的影响程度，对安全漏洞进行等级评定，可分为四个级别：低危-中危-高危-超危，其中，超危和高危漏洞必须及时处理，否则可能造成大规模系统性风险。这里从几个维度对本次超危漏洞进行分析，能够让大家对此漏洞有全面认识，并采取有效措施防范和补救。

漏洞产生原因

超危漏洞-CNNVD-201702-977主要是由两部分安全问题共同导致：

1、 在操作系统上数据库账号应该只能对database_home下的文件进行操作，但该数据库并没有在这部分做足够的限制；

2、 数据库会存在一些和操作系统上文件进行交互的函数，这部分函数的访问权限处理存在缺陷。

此漏洞的出现正是基于这两部分的安全问题，入侵者可以通过登录低权限的数据库账户，向操作系统启动文件夹中植入文件，系统自动启动该程序，数据库账户将直接获得操作系统的最高控制权。

漏洞危害

当入侵者通过利用该漏洞获取操作系统最高权限后，可以对操作系统控制下的所有的软件、应用、数据库等进行控制，可能严重影响业务运转或造成大规模数据泄露、篡改等事件。更严重的是，通过控制一个操作系统，可以以此为跳板，对整个局域网发起网络攻击，此操作系统沦为肉鸡。

棱镜门事件之后，国家进一步提出对信息化关键基础设施的国产化号召，去IOE的趋势蔓延各个行业。数据库系统作为存储数据资产的核心基础设施，更应重视。

本次CNNVD对这一超危漏洞的发布，请用户予以重视，及时检查更新，规避可能导致的大规模数据资产损失。同时，安华金和将持续关注相关数据库漏洞信息，及时预警通知。