Datenbanksicherheit Digest – Januar 2017

Hier sind die auffälligsten Cyberangriffs- und Datenbanksicherheitsnachrichten.

Für MongoDB-Benutzer begann das Jahr mit großen Risiken. Es wird von mehr als 28.000 gehackten MongoDB-Datenbanken berichtet. MongoDB ist ein kostenloses und Open-Source-NoSQL-RDBMS. Angriffe werden von verschiedenen Gruppen durch einfache Skripts ausgeführt, die eine falsch konfigurierte MongoDB-Installation ausnutzen. Ransomware löscht die Datenbank und fordert $100-500, um sie zurückzubekommen. Das Skript ist nur für diejenigen MongoDB-Datenbanken nützlich, die ein Standard- oder leicht zu erratenes Passwort für das Administratorkonto haben und über das Internet erreichbar sein können. Es gibt auch Informationen über aufgetretene Hadoop- und CouchDB-Angriffe, die nach dem gleichen Schema durchgeführt wurden. Das übliche Problem der Opfer soll die Standardkonfiguration sein, die Zugriff ohne Autorisierung zulässt. Die Sicherheit dieser Plattformen ist nicht das Problem, das Problem ergab sich überraschend darauf, dass viele Unternehmen die Grundlagen der Datenbanksicherheit vernachlässigte. Unternehmen, die keine Datenbanksicherungen hatten, haben ihre Daten für immer verloren, da die meisten Angreifer die gestohlenen Daten nicht einmal nach Erhalt der Zahlung abholen.

Die ESEA-Videospiel-Community wurde gehackt. 1,5 Millionen Konten wurden kompromittiert, darunter Benutzernamen, E-Mail-Adressen, gehashte Passwörter, Geburtsdaten und Telefonnummern. Die Firma speicherte keine Zahlungsinformationen und die Kontopasswörter waren mit bcrypt verschlüsselt.

Indische Banken stießen auf ein Problem mit dem SWIFT, das ist ein System, das verwendet wird, um Finanztransaktionen zu sichern. Es gab keine Geldverluste, aber es hätte für betrügerische Duplizierung von Handelsdokumenten verwendet werden können. Eine forensische Prüfung wird durchgeführt.

Datenbanksicherheit

Oracle startete dieses Jahr mit einem regulären Critical Patch Update, das 270 Sicherheitslücken über verschiedene Plattformen hinweg behebt. Das Original-Risikomatrix kann hier gefunden werden.

MySQL

Das Critical Patch Update enthält 27 Sicherheitsfixes für Oracle MySQL. 5 dieser Sicherheitslücken können über ein Netzwerk ohne Benutzeranmeldedaten ausgebeutet werden.

CVE #	CVSS Score	Komponente	Beschreibung
CVE-2015-7501	8.8	MySQL Enterprise Monitor: Allgemein	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über TLS ermöglicht, die Kontrolle über die MySQL Enterprise Monitor-Komponente zu übernehmen.
CVE-2016-0635	8.8	MySQL Enterprise Monitor: Allgemein	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über TLS ermöglicht, die Kontrolle über die MySQL Enterprise Monitor-Komponente zu übernehmen.
CVE-2016-0714	8.8	MySQL Enterprise Monitor: Allgemein	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über TLS ermöglicht, die Kontrolle über die MySQL Enterprise Monitor-Komponente zu übernehmen.
CVE-2016-5541	4.8	MySQL Cluster: NDBAPI	Ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugang über mehrere Protokolle, die MySQL Cluster Komponente zu kompromittieren. Eine erfolgreiche Ausbeutung kann in einem unbefugten Update, Einfügen oder Löschen des Zugriffs auf einige von MySQL Cluster zugängliche Daten und unbefugte Fähigkeit zur Verursachung einer teilweisen Dienstverweigerung von MySQL Cluster resultieren.
CVE-2016-5590	7.2	MySQL Enterprise Monitor: Agent	Leicht ausnutzbare Sicherheitslücke, die es einem hochprivilegierten Angreifer mit Netzwerkzugang über TLS ermöglicht, den MySQL Enterprise Monitor zu kompromittieren. Erfolgreiche Angriffe auf diese Sicherheitslücke können zur Übernahme des MySQL Enterprise Monitors führen.
CVE-2016-6304	7.5	MySQL Enterprise Monitor: Allgemein	Leicht ausnutzbare Sicherheitslücke, die es einem nicht authentifizierten Angreifer mit Netzwerkzugang über TLS ermöglicht, die Komponente MySQL Enterprise Monitor zu kompromittieren. Eine erfolgreiche Ausbeutung kann in einer unbefugten Fähigkeit resultieren, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) der MySQL Enterprise Monitor-Komponente zu verursachen.
CVE-2016-8318	6.8	MySQL Server: Verschlüsselung	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Die Ausbeutung erfordert eine weitere Partei neben dem Angreifer. Angriffe können andere Produkte erheblich beeinträchtigen. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2016-8327	4.4	MySQL Server: Replikation	Schwierig zu nutzende Anfälligkeit, die es einem hochprivilegierten Angreifer mit Netzwerkzugriff über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3238	6.5	MySQL Server: Optimierer	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3243	4.4	MySQL Server: Zeichensätze	Schwierig zu nutzende Anfälligkeit, die es einem hochprivilegierten Angreifer mit Netzwerkzugriff über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3244	6.5	MySQL Server: DML	Leicht zu nutzende Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3251	4.9	MySQL Server: Optimierer	Leicht ausnutzbare Sicherheitslücke, die es einem hochprivilegierten Angreifer mit Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3256	6.5	MySQL Server: Replikation	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3257	6.5	MySQL Server: InnoDB	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3258	6.5	MySQL Server: DDL	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3265	5.6	MySQL Server: Verpackung	Schwierig zu nutzende Anfälligkeit, die es einem hochprivilegierten Angreifer mit Anmeldung zur Infrastruktur, wo der MySQL Server ausgeführt wird, ermöglicht, den MySQL Server zu kompromittieren. Die Ausbeutung erfordert eine weitere Interaktion neben dem Angreifer. Eine erfolgreiche Ausbeutung gewährt einen unbefugten Zugang zu kritischen Daten oder vollständigen Zugang zu allen von MySQL Server zugänglichen Daten und die unbefugte Fähigkeit, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) von MySQL Server zu verursachen.
CVE-2017-3273	6.5	MySQL Server: DDL	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3291	6.3	MySQL Server: Verpackung	Schwierig zu nutzende Anfälligkeit, die es einem hochprivilegierten Angreifer mit Anmeldung zur Infrastruktur, wo der MySQL Server ausgeführt wird, ermöglicht, den MySQL Server zu kompromittieren. Die Ausbeutung erfordert eine weitere Partei neben dem Angreifer. Eine erfolgreiche Ausbeutung kann zur Übernahme von MySQL Server führen.
CVE-2017-3312	6.7	MySQL Server: Verpackung	Schwierig zu nutzende Anfälligkeit, die es einem Angreifer mit niedrigen Privilegien und Anmeldung zur Infrastruktur, wo der MySQL Server ausgeführt wird, ermöglicht, den MySQL Server zu kompromittieren. Die Ausbeutung erfordert eine weitere Partei neben dem Angreifer. Eine erfolgreiche Ausbeutung kann zur Übernahme von MySQL Server führen.
CVE-2017-3313	4.7	MySQL Server: MyISAM	Schwierig zu nutzende Anfälligkeit, die es einem Angreifer mit niedrigen Privilegien und Anmeldung zur Infrastruktur, wo der MySQL Server ausgeführt wird, ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung gewährt einen unbefugten Zugang zu kritischen Daten oder vollständigen Zugang zu allen von MySQL Server zugänglichen Daten.
CVE-2017-3317	4.0	MySQL Server: Logging	Schwierig zu nutzende Anfälligkeit, die es einem hochprivilegierten Angreifer mit Anmeldung zur Infrastruktur, wo der MySQL Server ausgeführt wird, ermöglicht, den MySQL Server zu kompromittieren. Der Angriff erfordert eine weitere Interaktion neben dem Angreifer. Eine erfolgreiche Ausbeutung ermöglicht es einem unbefugten Benutzer, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) des MySQL-Servers zu verursachen.
CVE-2017-3318	4.0	MySQL Server: Fehlerbehandlung	Schwierig zu nutzende Anfälligkeit, die es einem hochprivilegierten Angreifer mit Anmeldung zur Infrastruktur, wo der MySQL Server ausgeführt wird, ermöglicht, den MySQL Server zu kompromittieren. Der Angriff erfordert eine weitere Interaktion neben dem Angreifer. Eine erfolgreiche Ausbeutung gewährt einen unbefugten Zugang zu kritischen Daten oder vollständigen Zugang zu allen von MySQL Server zugänglichen Daten.
CVE-2017-3319	3.1	MySQL Server: X Plugin	Schwierig zu nutzende Anfälligkeit, die es einem Angreifer mit niedrigen Privilegien und Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung kann in einem unbefugten Lesezugriff auf einen Teil der von MySQL Server zugänglichen Daten resultieren.
CVE-2017-3320	2.4	MySQL Server: Verschlüsselung	Leicht ausnutzbare Sicherheitslücke, die es einem hochprivilegierten Angreifer mit Netzwerkzugang über mehrere Protokolle ermöglicht, den MySQL Server zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht einen unbefugten Lesezugriff auf einen Teil der von MySQL Server zugänglichen Daten.
CVE-2017-3321	3.7	MySQL Cluster: Allgemein	Schwierig zu nutzende Anfälligkeit, die es einem nicht authentifizierten Angreifer mit Netzwerkzugang über mehrere Protokolle ermöglicht, das MySQL Cluster zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht eine unbefugte Fähigkeit, eine teilweise Dienstverweigerung (teilweise DOS) von MySQL Cluster zu verursachen.
CVE-2017-3322	3.7	MySQL Cluster: NDBAPI	Schwierig zu nutzende Anfälligkeit, die es einem nicht authentifizierten Angreifer mit Netzwerkzugang über mehrere Protokolle ermöglicht, das MySQL Cluster zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht eine unbefugte Fähigkeit, eine teilweise Dienstverweigerung (teilweise DOS) von MySQL Cluster zu verursachen.
CVE-2017-3323	3.7	MySQL Cluster: Allgemein	Schwierig zu nutzende Anfälligkeit, die es einem nicht authentifizierten Angreifer mit Netzwerkzugang über mehrere Protokolle ermöglicht, das MySQL Cluster zu kompromittieren. Eine erfolgreiche Ausbeutung ermöglicht eine unbefugte Fähigkeit, eine teilweise Dienstverweigerung (teilweise DOS) von MySQL Cluster zu verursachen.

 Oracle Database Server

Dieses Critical Patch Update enthält 5 neue Sicherheitsfixes für Oracle Database Server. 3 von ihnen können remote ohne Authentifizierung ausgenutzt werden.

CVE #	CVSS Score	Komponente	Beschreibung
CVE-2017-3240	3.3	RDBMS Sicherheit	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien, der lokale Anmeldeprivilegien hat und sich in der Infrastruktur anmeldet, in der die RDBMS-Sicherheit ausgeführt wird, ermöglicht, die RDBMS-Sicherheitskomponente zu kompromittieren. Eine erfolgreiche Ausbeutung kann in einem unbefugten Lesezugriff auf einen Teil der von RDBMS Security zugänglichen Daten resultieren.
CVE-2017-3310	9.0	OJVM	Leicht ausnutzbare Sicherheitslücke, die es einem Angreifer mit niedrigen Privilegien, der Create Session, Create Procedure Privilegien hat und Netzwerkzugang über mehrere Protokolle hat, ermöglicht, OJVM zu kompromittieren. Der Angriff kann weitere Produkte erheblich beeinträchtigen und erfordert eine weitere Interaktion neben dem Angreifer. Eine erfolgreiche Ausbeutung kann zur Übernahme von OJVM führen.
CVE-2015-1791	5.6	Oracle Secure Backup: OpenSSL	Schwierig zu nutzende Anfälligkeit, die es einem nicht authentifizierten Angreifer mit Netzwerkzugang über HTTPS ermöglicht, OpenSSL zu kompromittieren. Eine erfolgreiche Ausbeutung kann in einem unbefugten Update, Einfügen oder Löschen von Zugriff auf einige von OpenSSL zugängliche Daten, einem unbefugten Lesezugriff auf einen Teil der von OpenSSL zugänglichen Daten und der unbefugten Fähigkeit resultieren, eine teilweise Dienstverweigerung von OpenSSL zu verursachen.
CVE-2016-1903	9.1	Oracle Secure Backup: PHP	Leicht ausnutzbare Sicherheitslücke, die es einem nicht authentifizierten Angreifer mit Netzwerkzugang über HTTP ermöglicht, PHP zu kompromittieren. Eine erfolgreiche Ausbeutung kann einen unbefugten Zugang zu kritischen Daten oder vollständigen Zugang zu allen von PHP zugänglichen Daten und die unbefugte Fähigkeit, einen Hänger oder häufig wiederholbaren Absturz (vollständige DOS) von PHP erfordern.
CVE-2015-3253	9.8	Oracle Big Data Graph	Leicht ausnutzbare Sicherheitslücke, die es einem nicht authentifizierten Angreifer mit Netzwerkzugang über HTTP ermöglicht, die Spatial-Komponente zu kompromittieren. Eine erfolgreiche Ausbeutung kann zur Übernahme der Spatial-Komponente führen.

Pivotal Greenplum Datenbank 4.3.11.3

Eine neue Version von Greenplum Datenbank enthält die folgenden Änderungen:

Datenbanksicherheit Digest – Dezember
Datenbanksicherheit Digest – November
Datenbanksicherheit Digest – Oktober