Un investigador de seguridad de MySQL anuncia una vulnerabilidad del día cero crítico que afecta a toda la configuración por defecto de todas las versiones de MySQL, incluyendo 5.5, 5.6 y 5.7
El investigador de seguridad Dawid Golunski ha dado a conocer una vulnerabilidad crítica de día cero que afecta al sistema de gestión de MySQL populares de base de datos (RDBMS). El investigador decidió revelar la falla crítica ya que Oracle no pudo lanzar un parche después de más de 40 días de que el investigador informó del día cero.
Dawid Golunski descubrió varios problemas de seguridad en el DBMS MySQL, incluyendo un defecto de la vulnerabilidad (CVE-2016 a 6662) que puede ser explotado por un atacante remoto inyectar configuración maliciosos en my.cnf archivos de configuración. La vulnerabilidad puede ser activado para comprometer totalmente el DBMS mediante la ejecución de código arbitrario con privilegios de root en el servidor que ejecuta la instancia de MySQL vulnerables.
La vulnerabilidad CVE-2016-6662 se puede aprovechar si el atacante tiene una conexión autentificada con el servicio MySQL, por ejemplo, en entornos de alojamiento compartido, mediante la activación de una falla de inyección SQL, o por medio de un tipo común de vulnerabilidad en los servicios web aprovechando el DBMS.
"La vulnerabilidad afecta a todos los servidores MySQL con una configuración por defecto en todas las ramas de versión (5.7, 5.6, y 5.5), incluyendo las versiones más recientes, que podría ser aprovechada por ambos atacantes locales y remotos. Tanto el acceso autenticado a la base de datos MySQL (a través de la red de conexión o interfaces web como phpMyAdmin) y la inyección de SQL podría utilizarse como vectores de explotación ".
La advertencia también incluye un MySQL Prueba de concepto de explotar lo que demuestra cómo activar el fallo para ejecutar código remoto con privilegios de root. El investigador evitó revelar algunas partes para prevenir el abuso generalizado.
El investigador también dio a conocer una segunda vulnerabilidad, rastreado como CVE-2.016 a 6.663, que podría permitir la explotación del día cero MySQL incluso por los atacantes con pocos privilegios.
El ataque funciona con la configuración por defecto de todas las versiones de MySQL, incluyendo 5.5, 5.6 y 5.7. El MySQL vulnerabilidad de día cero también afectó a las bases de datos MariaDB y PerconaDB que fueron actualizados por sus vendedores a finales del 30 de agosto.
Golunski dio a conocer el día cero MySQL porque los parches proporcionados por PerconaDB y MariaDB desarrolladores se pusieron a disposición de sitios públicos, permitiendo potencialmente a los agentes de amenaza de explotación de los mismos en la naturaleza.
"A medida que las mitigaciones temporales, los usuarios deben asegurarse de que no hay archivos de configuración de MySQL que sean propiedad de los usuarios de MySQL, y crear archivos my.cnf ficticias de propiedad raíz que no están en uso", explicó el experto. "Estos son de ninguna manera una solución completa y los usuarios deben aplicar los parches oficiales de proveedores tan pronto como estén disponibles."
OTRAS CATEGORIAS
