Revue de la Sécurité des Bases de Données pour Décembre 2016
Par tradition, nous vous présentons les incidents les plus massifs dans le domaine de la sécurité de l’information survenus en décembre.
Des nouvelles informations sont apparues concernant le célèbre piratage du service Yahoo! Mail, lié au deuxième moteur de recherche le plus populaire au monde. Nous parlons maintenant de 1 milliard de comptes utilisateurs volés. Un pirate (présumément un opérateur de la nation lié à la violation de 2014) a accédé au code propriétaire de Yahoo pour falsifier des cookies.
Le piratage d’une banque russe non nommée a été signalé. Il n’y a que très peu d’informations ouvertes sur l’incident pour l’instant, nous savons seulement que les intrus ont volé environ 1,4 million de dollars en piratant le système bancaire central.
Le site de partage de vidéos Dailymotion a subi une violation de données. 82,5 millions de comptes utilisateurs ont été compromis, y compris les ID utilisateurs, les emails et les mots de passe hachés. Les mots de passe sont protégés par l’algorithme Bcrypt, que des attaquants déterminés peuvent contourner.
L’entreprise de remise en forme PayAsUGym a été piratée et a compromis les détails personnels de 300 000 clients. L’entreprise affirme que les mots de passe étaient cryptés, mais elle utilisait l’algorithme MD5 discrédité avec des hachages non salés. Un autre exemple d’attitude irresponsable vis-à-vis des questions de sécurité.
Le célèbre hacker/pentesteur Kaputskiy a piraté le site de l’Assemblée Nationale d’Équateur et a divulgué certaines données. Plus tôt ce mois-ci, Kaputskiy et son ami Kasimierz L ont piraté le site officiel du Ministère de l’Industrie d’Argentine. Les deux attaques ont été réalisées en exploitant une vulnérabilité d’injection SQL.
Une attaque cybernétique majeure a été menée contre le géant allemand de l’acier ThyssenKrupp, visant à voler des savoir-faire technologiques et des recherches. La détection précoce de l’attaque a permis d’éviter des conséquences plus graves. L’enquête est en cours.
Sécurité des Bases de Données
Ci-dessous, les vulnérabilités découvertes en décembre.
Dans les versions de Django précédant 1.8.16, 1.9.11 et 1.10.3, un mot de passe codé en dur est utilisé pour un utilisateur de base de données temporaire créé lors de l’exécution de tests de base de données Oracle. Exploiter cela facilite l’accès à distance au serveur de base de données pour un attaquant en spécifiant un mot de passe dans le dictionnaire des paramètres de test de la base de données.
CVSS Gravité : 9.8 Critique
Elle a été mentionnée dans la revue d’octobre, et nous avons maintenant plus d’informations à ce sujet.
Lors de l’utilisation de la journalisation basée sur les fichiers, permet aux utilisateurs locaux qui ont accès au compte mysql d’obtenir des privilèges root avec l’aide d’une attaque de lien symbolique sur les journaux des erreurs.
CVSS Gravité : 7.0 Élevé
Elle a également été mentionnée dans les revues précédentes.
Elle permet aux utilisateurs locaux avec peu de permissions d’obtenir des privilèges en utilisant la fonction my_copystat par la commande REPAIR TABLE ciblant une table MyISAM.
CVSS Gravité : 7.0 Élevé
Elle offre la possibilité à un attaquant avec un nom d’utilisateur ou un nom de table fabriqué d’injecter des instructions SQL dans la fonctionnalité de suivi qui s’exécutera avec les privilèges de l’utilisateur de contrôle. L’exploitation donne un accès en lecture et écriture aux tables de la base de stockage de configuration ; si l’utilisateur de contrôle dispose des privilèges nécessaires, un attaquant peut lire certaines tables de la base de données MySQL.
CVSS Gravité : 7.5 Élevé
Problème XSS dans phpMyAdmin. Un contenu de colonne fabriqué dans la recherche Zoom peut être utilisé pour déclencher une attaque XSS. Certains champs dans l’éditeur GIS ne sont pas correctement échappés, ils peuvent donc également être utilisés pour une attaque XSS.
CVSS Gravité : 6.1 Moyen
MariaDBCVE-2016-7740
Elle facilite la découverte des clés AES par des utilisateurs locaux en exploitant les différences de synchronicité de la mémoire cache.
CVSS Gravité : 5.5 Moyen
Versions affectées : Pivotal Greenplum avant 4.3.10.0
Des commandes arbitraires peuvent être injectées dans le système en exploitant la vulnérabilité dans le processus de création de tables externes à l’aide de GPHDFS. L’exploitation nécessite l’accès superutilisateur ‘gpadmin’ au système ou des permissions de protocole GPHDFS.
CVSS Gravité : 7.2 Élevé
MySQL 5.6.35
La nouvelle version contient des corrections de bogues connus, des améliorations de performances et de sécurité.
Les changements de sécurité incluent :
- La commande chown ne peut être utilisée que lorsque le répertoire cible est /var/log. Si le répertoire pour le socket Unix manque, une erreur se produit. L’utilisation dangereuse des commandes rm ou chown dans la section mysql_safe d’un fichier d’options cng pourrait conduire à une élévation de privilèges.
- Désormais, l’option –ledir n’est pas acceptée dans les fichiers d’options, uniquement en ligne de commande.
- Les scripts d’initialisation de la nouvelle version créent le fichier de journal des erreurs à condition que le répertoire de base soit /var/lib ou /var/log.
- Les fichiers système non utilisés pour SLES sont supprimés.
- L’Encryption d’Entreprise pour MySQL Enterprise Edition permet désormais aux administrateurs de serveur d’imposer des limites à la longueur maximale de la clé en définissant des variables d’environnement. Ceux-ci peuvent être utilisés pour empêcher les clients d’utiliser des ressources CPU excessives en passant des longueurs de clé très longues aux opérations de génération de clé.
- Le Plugin de Contrôle de la Connexion. Après un certain nombre de tentatives consécutives échouées d’accès aux comptes utilisateurs MySQL, le délai de réponse du serveur est augmenté. Le nouveau plugin est conçu pour ralentir les attaques de force brute.
Greenplum Database 4.3.11.0
Greenplum Database 4.3.11.0 inclut les améliorations suivantes :
- Amélioration de l’Exécution des Requêtes PQO
- Annulation Améliorée des Requêtes
- Amélioration de l’Exécution des Requêtes par Agrégats de Hash
- Amélioration de la Gestion de la Mémoire de Greenplum Database
- Amélioration de la Gestion des Lignes Supprimées dans les Tables Persistantes
- Environnement PL/Java Amélioré pour le Développement
- gptransfer Transfère les Données des Tables Partitionnées aux Tables non Partitionnées
Teradata Database 16.00
Teradata Database 16.00 possède de nombreuses nouvelles fonctionnalités et améliorations suivant les catégories stratégiques d’Exécution Adaptative, d’Activation Big Data & UDA, de Performances Extrêmes, de Haute Disponibilité, de Compatibilité Industrielle, de Qualité et Supportabilité, de Simplicité et Facilité d’utilisation. Les notes de version détaillées se trouvent ici.
Concernant les questions de sécurité, la nouvelle version contient les améliorations suivantes :
Autorisation LDAP Légère. Elle permet aux utilisateurs d’utiliser le service d’annuaire existant pour autoriser les utilisateurs de Teradata Database, sans avoir besoin de modifier leur annuaire pour inclure des schémas, structures et entrées spécifiques à Teradata. Elle fonctionne avec des serveurs d’annuaire conformes LDAPv3 (LDAP et KRB5). Elle a amélioré la performance de la connexion par rapport aux mécanismes d’autorisation hérités.
L’outil tdgssauth est utilisé pour tester les configurations de mécanismes de sécurité TDGSS sur les nœuds Teradata Database et les serveurs Unity Director. Il teste les échecs de politique hors ligne, l’authentification et l’autorisation correctes. Bien que tdgssauth ne puisse pas tester les mécanismes Proxy, c’est un outil robuste pour appliquer la politique de sécurité permettant le débogage en direct sans arrêter l’exécution de la base de données.
Répertoire d’Installation Sélectionnable par l’Utilisateur (USD). Il est utilisé pour établir des connexions sécurisées entre un client et un serveur à l’aide de l’interface Teradata Generic Security Service (GSS). Désormais, le dossier ou lecteur racine pour l’installation peut être spécifié par l’utilisateur.
Revue de la Sécurité des Bases de Données – NovembreRevue de la Sécurité des Bases de Données – Octobre
Revue de la Sécurité des Bases de Données – Septembre
