انتشار عمومی جزییات یک ضعف امنیتی روز صفر در MySQL

یک ضعف امنیتی علنی شده در نرم افزار MySQL مهاجمان را قادر به دست درازی به سرورهایی می کند که این نرم افزار بر روی آنها نصب شده است.

به گزارش شرکت مهندسی شبکه گستر، تمامی سرورهای حاوی نسخه های 5.5، 5.6 و 5.7 (شامل آخرین نسخه عرضه شده) MySQL که تنظیمات این نرم افزار بر روی آنها در حالت پیش فرض قرار دارد به این ضعف امنیتی آسیب پذیر هستند. ضمن اینکه پایگاه های داده MariaDB و Percona DB که از MySQL مشتق شده اند نیز این آسیب پذیری را در خود دارند.

این ضعف امنیتی با شناسه CVE-2016-6662 مهاجم را قادر می کند تا با دست درازی به فایل تنظیمات (my.cnf) یک کتابخانه تحت کنترل خود را با حق دسترسی root در زمان شروع به کار یک WrapperScript اجرا کند.

در صورتی که مهاجم یک ارتباط اصالت سنجی شده با سرویس MySQL داشته باشد می تواند از این ضعف امنیتی بهره جویی کند. این نوع ارتباطات در بسترهای میزبانی اشتراکی فراهم است. ضمن اینکه از طریق حمله SQL Injection که بسیاری از سایت های اینترنتی در برابر آن آسیب پذیر هستند نیز می توان از آن سوءاستفاده کرد.

محقق کاشف این ضعف وجود این آسیب پذیری را به توسعه دهندگان MariaDB،وPercona DB و MySQL اطلاع داده است. برای دو پایگاه داده اول اصلاحیه های امنیتی عرضه شده است اما Oracle – شرکت توسعه دهنده MySQL – که در 29 جولای از وجود این ضعف مطلع شده هنوز اصلاحیه ای برای آن ارائه نکرده است.

شرکت Oracle بصورت فصلی اقدام به عرضه اصلاحیه های امنیتی MySQL می کند. انتظار می رود که در ماه اکتبر اصلاحیه های فصلی بعدی این پایگاه داده ارائه شود. با این حال با توجه به اینکه اصلاحیه های MariaDB و Percona اواخر ماه آگوست بصورت عمومی منتشر شدند، محقق کاشف این ضعف نیز تصمیم گرفته که وجود آسیب پذیری را علنی کند تا مدیران سیستم بتوانند در اسرع وقت اقدامات پیشگیرانه را بر روی سرورهای خود پیاده سازی کنند.

توصیه نامه این محقق شامل یک بهره جوی (Exploit) اثبات مفهوم (Proof-of-Concept) است که برخی بخش های کد آن بصورت عمدی خالی نشان داده شده تا امکان سوءاستفاده از آن فراهم نباشد. این محقق یک ضعف دیگر با شناسه CVE-2016-6663 را نیز به شرکت Oracle اعلام کرده که به گفته او می تواند اجرای حمله را آسان تر کند. اما جزییات بیشتری در خصوص آن منتشر نکرده است.

انتشار جزییات این ضعف امنیتی مورد انتقاد برخی کارشناسان قرار گرفته که معتقدند CVE-2016-6662 یک آسیب پذیری ترفیع امتیازی (Privilege Escalation) بوده و به مخربی اجرای از راه دور کد (Remote Code Execution) نیست.

در هر صورت با توجه به انتشار عمومی جزییات و بخش هایی از کد بهره جو مطالعه این مطلب به تمامی مدیران سرورهای با پایگاه داده MySQL توصیه می شود.