Oracle发布关于MySQL服务的重大安全漏洞说明

数据库 MySQL 数据库运维
Oracle 官方近日发布安全公告,公告修复 MySQL 服务 25 个安全漏洞,在这些安全漏洞中,影响较大的 CVE-2018-2696 漏洞可以在无需认证的条件下,远程利用导致拒绝服务攻击。本次安全公告披露的安全漏洞数量较多,建议用户关注。

Oracle发布关于MySQL服务的重大安全漏洞说明

Oracle 官方近日发布安全公告,公告修复 MySQL 服务 25 个安全漏洞,在这些安全漏洞中,影响较大的 CVE-2018-2696 漏洞可以在无需认证的条件下,远程利用导致拒绝服务攻击。本次安全公告披露的安全漏洞数量较多,建议用户关注。 

漏洞编号: CVE-2018-2696,CVE-2018-2591,CVE-2018-2562

漏洞描述:

CVE-2018-2562  MySQL 分区未指定的漏洞

漏洞源于 Oracle MySQL 服务器分区组件。影响 5.5.58 及之前版本,5.6.38 及之前的版本,5.7.19 及之前的版本。该漏洞允许低权限通过多种协议对服务器进行拒绝式攻击,也可以无需授权更新、插入、删除数据库中的可以访问的数据。

MariaDB 分支版本也受该漏洞影响。

CVE-2018-2591  MySQL 分区未指定的漏洞

漏洞源于 Oracle MySQL 服务器分区组件。影响 5.6.38 及之前的版本,5.7.19 及之前的版本。该漏洞允许低权限通过多种协议对服务器进行拒绝式攻击。

MariaDB 分支版本不受该漏洞影响。

CVE-2018-2696  MySQL: sha256_password 认证长密码拒绝式攻击

该漏洞源于 MySQL sha256_password 认证插件,该插件没有对认证密码的长度进行限制,而直接传给 my_crypt_genhash() 用 SHA256 对密码加密求哈希值。该计算过程需要大量的 CPU 计算,如果传递一个很长的密码时候,会导致 CPU 耗尽。而且该公式 MySQL 的实现中使用 alloca() 进行内存分配,无法对内存栈溢出保护,可能导致内存泄露、进程崩溃,从而可能实现代码执行。

MySQL <= 5.6.38 和 MySQL <= 5.7.20 受影响。MariaDB 分支版本不受该漏洞影响。

更多信息参考 :http://www.oracle.com/technetwork/security-advisory/cpujan2018-3236628.html

漏洞利用条件和方式:

通过 PoC 直接远程利用。 

PoC 状态

未公开 

漏洞影响范围

具体受影响范围参见漏洞描述部分。

漏洞检测

检查是否使用了受影响版本范围内的 MySQL 服务。

漏洞修复建议 (或缓解措施)

1. 目前 Oracle 官方已经发布最新版本,建议自建 MySQL 服务用户及时手工下载更新: 

  • MySQL 5.6.39 版本:https://dev.mysql.com/downloads/mysql/5.6.html
  • MySQL 5.7.21 版本:https://dev.mysql.com/downloads/mysql/5.7.html
  • https://downloads.mariadb.org/

 

2. 建议选择 MySQL 开源分支 MariaDB,该分支完全兼容 MySQL 并提供更多功能和更好的性能。 

责任编辑:庞桂玉 来源: ITPUB
相关推荐

2011-08-08 15:48:08

2009-10-10 17:40:34

2013-07-31 15:44:51

2016-02-17 16:04:42

2014-07-30 10:29:12

Android系统

2018-05-10 08:40:15

Windows Linux 漏洞

2014-07-30 10:18:51

Android

2014-02-25 15:12:07

2014-12-24 12:34:48

2013-10-12 10:39:49

2020-07-15 10:05:47

微软浏览器Windows

2013-11-05 16:32:18

搜狗浏览器安全漏洞

2009-02-19 13:12:10

劲舞团漏洞久游网

2015-08-28 10:45:25

2013-01-14 12:15:51

2022-06-28 12:14:02

DockerLinux

2022-12-29 07:40:58

2019-08-26 10:19:39

2021-12-20 09:32:55

Log4j2漏洞攻击

2013-08-29 15:24:36

点赞
收藏

51CTO技术栈公众号