Database Security Digest – Mai 2017

Nun, dieser Monat war extrem arbeitsreich für Hacker und diejenigen, die gegen sie gekämpft haben. Hier ist der schnelle Überblick über die Neuigkeiten zur Datenbanksicherheit im Mai 2017.

Shadow Brokers, WannaCry, die NSA und globale Cyberkatastrophen

Beginnen wir mit dem Shadow Brokers Hacker-Team und ihrer in dem vorherigen Digest erwähnten Veröffentlichung von Exploits für Windows-OS und andere Systeme, die angeblich aus dem Datenleck der National Security Agency stammen. Dies hatte weltweit enorme Konsequenzen, da einige der veröffentlichten Exploits bei der Erstellung des berüchtigten WannaCry verwendet wurden, jenem bösen Kryptowurm, der mehr als 400.000 Maschinen infizierte.

WannaCry zielt auf Computer mit Microsoft Windows ab (98% der Opfer benutzten Windows 7). Es nutzt den von der NSA geleakten EternalBlue-Exploit, um in einen Computer einzudringen, indem es eine Schwachstelle im Server Message Block (SMB)-Protokoll ausnutzt. Dann installiert es die DoublePulsar-Software, die das WannaCry-Skript zum Verschlüsseln aller Daten auf Ihrem Rechner herunterlädt und ausführt. Schließlich fordert es nach Zahlung von etwa $300 in Bitcoin eine Entschlüsselung der Daten, doch es gibt keine Garantie, dass die Daten nach der Zahlung entschlüsselt werden.

Nach der Analyse der Lösegeldschreiben haben Linguistikexperten festgestellt, dass die Kriminellen fließend Chinesisch sprechen. Bitcoin-Transaktionen halten ihre Nutzer anonym, aber sie sind auch nachverfolgbar; jede Transaktion wird auf einem öffentlichen Ledger namens Blockchain geschrieben. Drei Wallets werden verwendet, um Lösegeldzahlungen zu empfangen. Am 25. Mai wurden $126.742 übertragen. Die Kriminellen werden jedoch Schwierigkeiten haben, diese zu nutzen, da Informationssicherheitsexperten diese drei Wallets rund um die Uhr beobachten.

Und zurück zu den Shadow Brokers, die dieses schreckliche Chaos verursacht haben. Sie haben einen monatlichen Abonnementservice für neue von der NSA erhaltene Exploits angekündigt. Das Abonnement wird ungefähr $23.000 kosten. Der erste Dump wird in der ersten Julihälfte erwartet, und wer weiß, was sonst noch dort ist. Sollten wir uns also über bevorstehende Cyberkatastrophen Sorgen machen? Ja, das sollten wir.

Samba-Bedrohung

Eine weitere Bedrohung für das friedliche Speichern Ihrer Daten. Mehr als 100.000 Computer sind derzeit anfällig für die Remote-Code-Ausführungsschwachstelle (CVE-2017-7494) in Samba, einem beliebten Netzwerkstandard, der für die Interoperabilität zwischen Unix-, Linux- und Microsoft Windows-Systemen verwendet wird. Die kritische Schwachstelle existiert seit März 2010. Sie ermöglicht es einem böswilligen Benutzer, eine gemeinsam genutzte Bibliothek auf einen beschreibbaren Anteil hochzuladen und dem Server zu veranlassen, diese auszuführen. Sie kann wie WannaCry verwendet werden, um einen Wurm zu starten, der sich durch Netzwerke ausbreitet und Linux- und Unix-Systeme angreift. Es ist sehr einfach auszunutzen und erfordert nur ein Ein-Zeilen-Skript.

Zum Glück können Organisationen die Risiken mindern. Um auf der sicheren Seite zu sein, sollten Organisationen ihre Firewall so konfigurieren, dass SMB/Samba-Netzwerkverkehr direkt aus dem Internet zu ihren Ressourcen eingeschränkt wird.

Andere Datenlecks

Ein anonymer Kerl hat eine riesige Datenbank mit mehr als 560 Millionen E-Mails und Passwörtern veröffentlicht, die aus verschiedenen Quellen, einschließlich Linkedin, Last.fm, MySpace, Dropbox, Tumblr, Adobe, Neopets und anderen, gesammelt wurden. Die Daten wurden vor einiger Zeit geleakt, der Mann hat nur 75 Gigabyte frei schwebender sensibler Daten zusammengetragen.

Die Dating-Site PureMatrimony.com hat ihre Benutzer über ein mögliches Datenleck informiert. 120.000 gehashte Passwörter wurden online gefunden. Die geleakten Passwörter wurden mit dem MD5-Algorithmus verschlüsselt, was eine sehr unkluge Wahl der Datenverschlüsselungslösung ist. Er wird seit einem Jahrzehnt als schwach und ungeeignet für die weitere Nutzung angesehen. Das bedeutet, dass Hacker leicht an die echten Benutzerpasswörter gelangen können. PureMatrimony hat die Verantwortung für den Leak an einen Drittanbieter verlagert.

DaFont, ein Font-Repository und Download-Site, wurde gehackt. 699K Kontodaten, einschließlich mit MD5 gehashter Passwörter, wurden geleakt. 98% der Passwörter sind bereits geknackt. Der Bruch erfolgte aufgrund einer SQL-Injection-Schwachstelle, die von mehreren Parteien ausgenutzt wurde.

Der größte indische Online-Restaurantführer Zomato hat bestätigt, dass er gehackt wurde. Fast 17 Millionen Benutzernamen und gehashte Passwörter wurden gestohlen. Laut dem Unternehmen sind die Passwörter schwer zu entschlüsseln, und Kreditkarten- und Zahlungsinformationen werden in einer separaten PCI-DSS-konformen Datenbank gespeichert. Das Zomato-Team scannt aktiv alle möglichen Angriffspunkte und vermutet einen Insider-Job.

Am 31. Mai kündigte Kmart an, dass es eine Sicherheitsverletzung seiner Zahlungskartensysteme entdeckt hat, die Kreditkartennummern von Kunden kompromiert hat. Ihre Zahlungssysteme wurden mit einem unsichtbaren Prozessormalware für aktuelle Anti-Virus-Systeme infiziert. Es gibt bereits Berichte über unautorisierte Kreditkartenaktivitäten.

Das kanadische Telekommunikationsunternehmen Bell wurde gehackt. Seine Kundendatenbank, einschließlich fast 2 Millionen E-Mail-Adressen, 1.700 Telefonnummern und Namen, wurde kompromitiert.

Frische Datenbank-Sicherheitslücken und RDBMS-Updates

PostgreSQL

CVE-2015-6817
CVSS-Schweregradbewertung: 8.1
Wenn PgBouncer mit dem auth_user-Parameter konfiguriert ist, ermöglicht es einem entfernten Angreifer, als auth_user mit einem unbekannten Benutzernamen zuzugreifen.

CVE-2017-7486
CVSS-Schweregradbewertung: 7.5
PostgreSQL-Versionen 8.4-9.6 sind anfällig für Datenlecks in der pg_user_mappings-Ansicht, die fremde Server-Passwörter an jeden Benutzer mit USAGE-Berechtigung auf den zugehörigen Servern weitergibt.

CVE-2017-7485
CVSS-Schweregradbewertung: 5.9
Die PGREQUIRESSL-Umgebungsvariable erzwingt keine SSL/TLS-Verbindungen mehr zu PostgreSQL-Servern. Dies könnte in einem Man-In-The-Middle-Angriff verwendet werden, um die SSL/TLS-Schutz von der Verbindung zwischen einem Server und einem Client zu entfernen.

CVE-2017-7484
CVSS-Schweregradbewertung: 7.5
Es stellte sich heraus, dass keine Benutzerberechtigungsprüfung für den Zugriff auf den pg_statistic-Katalog durchgeführt wurde, was zu einem Datenleck führen könnte. Ein nicht privilegierter Benutzer könnte Informationen aus den Tabellen stehlen, auf die er keinen Zugriff haben sollte.

Teradata

CVE-2015-5401
CVSS-Schweregradbewertung: 7.5
Teradata Gateway und TDExpress ermöglichen einem entfernten Angreifer, durch eine beschädigte CONFIG REQUEST-Nachricht einen Denial-of-Service-Angriff zu verursachen.

Apache Hive

CVE-2016-3083
Eine Schwachstelle im SSL-Handshake für TCP/HTTP-Verbindungen, die auftritt, wenn das Zertifikat des Servers validiert wird. Ein JDBC-Client sendet eine SSL-Anfrage an den xyz.com-Server, und der Server antwortet mit einem gültigen Zertifikat, das an abc.com ausgestellt wurde. Der Client akzeptiert dies als gültiges Zertifikat, und der SSL-Handshake wird durchgeführt.

SAP HANA

CVE-2017-8915
Wenn Sinopia (privater/caching npm-Server) in SAP HANA verwendet wird, ermöglicht dies entfernten Angreifern, durch Senden eines Pakets mit einem Dateinamen, der $- oder %-Zeichen enthält, einen Denial-of-Service-Angriff (Dienstabsturz und Assert-Fehler) auszulösen.

CVE-2017-8914
Ein weiterer Fehler in der Integration mit Sinopia. Er ermöglicht es entfernten Angreifern, npm-Pakete zu kapern oder beliebige Dateien zu hosten, indem sie eine unsichere Benutzererstellungspolitik ausnutzen.

RDBMS-Updates

MariaDB 10.2.6

• MyRocks Alpha-Speicher-Engine hinzugefügt;
• Rekursive Common Table Expressions;
• AWS-Schlüsselmanagement-Plugin für Windows-, CentOS-, RHEL- und Fedora-Pakete hinzugefügt;
• Pakete für Ubuntu 17.04 Zesty hinzugefügt;
• Die Option –add-drop-trigger wurde zu mysqldump hinzugefügt;
• Zahlreiche Verschlüsselungsbehebungen;
• Defragmentierung deaktiviert;
• Unterstützung für OpenSSL 1.1 und LibreSSL hinzugefügt;
• innodb_deadlock_detect und innodb_stats_include_delete_marked-Variablen eingeführt;

Percona Server 5.7.18-15

Die neue Version von Percona behebt zwei Server-Abstürze. Einer tritt auf, wenn eine partitionierte Tabelle mit einer einzigen Partition abgefragt wird. Ein weiterer Absturz tritt auf, wenn eine Abfrage auf einer InnoDB-Tabelle mit ngram_full-text_parser und einer LIMIT-Klausel ausgeführt wird.

PostgreSQL 9.6.3

• Sichtbarkeit der pg_user_mappings.umoptions wird eingeschränkt, um gespeicherte Passwörter als Mapping-Optionen zu schützen und CVE-2017-7486 zu adressieren. Beachten Sie, dass der Patch das Problem nur in neuen Datenbanken behebt. Um die Änderung auf bestehende Datenbanken anzuwenden, müssen Sie mehrere in den Release Notes definierte Schritte ausführen.
• Behoben die mVerhinderung der Exposition statistischer Informationen durch undichte Betreiber und adressiert CVE-2017-7484.
• Wiederherstellung der libpq-Erkennung der PGREQUIRESSL-Umgebungsvariable und adressieren CVE-2017-7485.

Greenplum Database 4.3.14.0

Die neue Greenplum-Datenbank hat mehr veraltete Funktionen als neue.

• Unterstützung für NetBackup 7.7 und Wiederherstellungsoperationen mit den Dienstprogrammen gpdbcrondump und gpdbrestore hinzugefügt.
• Greenplum-Datenbank-Unterstützung für den Federal Information Processing Standard (FIPS) in der pgcrypto-Erweiterung wird eingestellt.
• Der UDP-Interconnect-Typ wurde entfernt. Nur die Interconnect-Typen TCP und UDPIFC werden unterstützt.