Bulletin de Sécurité des Bases de Données – Juin 2017
Selon une recherche menée par le Ponemon Institute, le coût moyen d’une violation de données en 2016 a diminué de 10 pour cent pour atteindre 3,62 millions de dollars. Cependant, le volume moyen de violations a augmenté de 24 000 enregistrements. Voici le résumé des nouvelles sur la sécurité des bases de données du mois précédent.
Violation de OneLogin qui peut tourner au cauchemar
Qu’est-ce qui peut être pire pour un service majeur de gestion des mots de passe que de divulguer des tables de bases de données contenant des informations sur les utilisateurs, les applications et divers types de clés ? Eh bien, selon le billet de OneLogin, il se pourrait qu’il y ait eu une chance que des pirates aient également pu déchiffrer des données sensibles durant sept heures dans le système. L’information selon laquelle des données sensibles auraient été déchiffrées n’a pas été confirmée, alors espérons pour le mieux.
Oups, un autre ransomware
En attendant une autre série de vulnérabilités de type “zero-day” de la part de Shadow Brokers, les pirates tentent de tirer le maximum d’avantages d’EternalBlue (vulnérabilité du protocole Microsoft Server Message Block) en l’utilisant pour distribuer le backdoor Nitol et le malware Gh0st RAT. De plus, des acteurs de menace inconnus ont diffusé un nouveau malware Petya en utilisant EternalBlue et EternalRomance. 80 % des infections Petya se sont produites en Ukraine. Contrairement à WannaCry, Petya ne fournit pas la clé pour déchiffrer les données une fois la rançon payée, ce qui rend les données chiffrées complètement inutiles. Il a également des fonctionnalités supplémentaires pour aider à la propagation dans le réseau, le rendant plus dangereux que son prédécesseur.
Microsoft a publié des correctifs pour les versions prises en charge et non prises en charge de Windows en mars 2017 pour traiter la vulnérabilité EternalBlue. Il semble que beaucoup d’utilisateurs aient repoussé la mise à jour malgré tous les avertissements.
Les pirates participent activement aux élections
Les enquêteurs sur le piratage des élections aux États-Unis ont signalé qu’il y a au moins un cas où une base de données d’électeurs a été modifiée. Les données personnelles de 90 000 électeurs stockées dans la base de données ont également été volées. Les autorités tentent maintenant de déterminer si cela a été fait par un groupe de pirates lié au Kremlin.
8tracks piraté
Le populaire service de radio internet et de réseaux sociaux 8tracks a subi une violation de données compromettant les données de 18 millions d’utilisateurs, y compris les e-mails et les mots de passe chiffrés en SHA 1. L’attaque a été menée par le compte GitHub d’un employé qui n’était pas sécurisé avec une authentification à deux facteurs.
43 To de données divulguées
Selon le rapport d’Appthority, plus de 1 000 applications sur des appareils mobiles ont divulgué des informations personnellement identifiables, y compris des emplacements, des mots de passe, des codes PIN VPN, des numéros de téléphone et des e-mails. Le coupable de ce problème réside dans les plateformes de stockage backend mal configurées, telles que MySQL, MongoDB, Redis, Elasticsearch.
Vulnérabilités des Bases de Données
Microsoft Azure
CVE-2017-8613Description : Une vulnérabilité dans Azure Active Directory Connect utilisée pour surveiller l’état de la synchronisation d’un réseau entre Active Directory local et un Active Directory basé sur le cloud. S’il est mal configuré lors de l’activation, il permet à un attaquant de réinitialiser les mots de passe et de gagner un accès non autorisé aux comptes d’utilisateurs privilégiés AD locaux. Microsoft a déjà publié une mise à jour pour corriger la vulnérabilité.
IBM DB2
CVSS Severity Score : 7.1
Description : Une vulnérabilité de dépassement de pile de mémoire tampon qui pourrait permettre à un utilisateur local de remplacer des fichiers DB2 ou provoquer un déni de service.
CVSS Severity Score : 7.3
Description : Une vulnérabilité d’exploitation locale de dépassement de tampon basé sur la pile causée par un contrôle incorrect des limites qui pourrait permettre à un attaquant local d’exécuter un code arbitraire.
PostgreSQL
CVSS Severity Score : 6.5
Description : PostgreSQL PL/Java avant la version 1.5.0 permet aux utilisateurs distants authentifiés de modifier les mappages de type pour des types dont ils ne sont pas propriétaires.
CVSS Severity Score : 7.5
Description : PostgreSQL PL/Java après la version 9.0 ne respecte pas les contrôles d’accès sur les objets volumineux. Exploitable sur le réseau sans authentification.
CVSS Severity Score : 6.5
Description : PostgreSQL PL/Java avant la version 1.5.0 permet aux utilisateurs distants authentifiés avec l’autorisation USAGE sur le schéma public de modifier le classpath du schéma public.
MS SQL
Description: Dans Redgate SQL Monitor, un attaquant distant peut obtenir un accès non authentifié au Monitor de Base, ce qui permet l’exécution de commandes SQL arbitraires sur toutes les machines Microsoft SQL Server surveillées. Si le Monitor de Base se connecte à ces machines en utilisant un compte avec privilèges d’administrateur SQL, alors l’exécution de code sur le système d’exploitation peut entraîner une compromission totale du système (si Microsoft SQL Server s’exécute avec des privilèges d’administrateur local).
Hive
CVSS Severity Score : 5.9
Description : Dans les environnements qui utilisent un emplacement externe pour les tables Hive, l’autorisateur Hive dans Apache Ranger doit vérifier les permissions RWX pour la création de tables.
Base de Données Greenplum 4.3.14.1
La mise à jour de la Base de Données Greenplum présente une protection checksum pour détecter les problèmes de corruption des fichiers de suivi des modifications lors de la récupération avec l’utilitaire Greenplum Database gprecoverseg ou la resynchronisation de l’instance de segment Greenplum Database. Voir la liste complète des bogues corrigés ici.
La correction à chaud contient les modifications suivantes :- Correction de sécurité résolvant l’échec de la base de données lors de l’authentification LDAP.
- Correction de l’intégration Kafka. Correction de l’insertion incorrecte des messages de journal dans la table système kafka_events.
- Abandon de la récupération en cas d’échec du verrou de catalogue global sur certains verrous. Le problème a été résolu.
- Une colonne d’identité sans séquence associée a causé l’échec de la base de données lors de l’exportation des objets. Le problème a été résolu.
