Digest Sicurezza Database per Dicembre 2016
Per tradizione, Le presento i più grandi incidenti nel campo della sicurezza delle informazioni che si sono verificati a dicembre.
È emersa qualche nuova informazione riguardo alla famigerata violazione del servizio Yahoo!Mail, relativa al secondo motore di ricerca più popolare al mondo. Ora stiamo parlando di 1 miliardo di account utente rubati. Un hacker (presumibilmente un operatore statale collegato alla violazione del 2014) ha ottenuto l’accesso al codice proprietario di Yahoo per forgiare i cookie.
È stata segnalata una violazione ai danni di una banca russa non specificata. Finora non ci sono molte informazioni aperte sull’incidente, sappiamo solo che gli intrusi hanno rubato circa 1,4 milioni di dollari hackerando il sistema bancario centrale.
Il sito di condivisione video Dailymotion ha subito una violazione dei dati. Sono stati compromessi 82,5 milioni di account utente, inclusi ID utente, email e password con hash. Le password sono protette con l’algoritmo Bcrypt, che gli attaccanti determinati possono superare.
La società di fitness PayAsUGym è stata violata e ha compromesso i dettagli personali di 300.000 clienti. L’azienda afferma che le password erano crittografate, ma veniva utilizzato l’algoritmo MD5 discreditato con hash non salati. Un altro esempio di atteggiamento irresponsabile nei confronti delle questioni di sicurezza.
Il famoso hacker/pentester Kaputskiy ha violato il sito dell’Assemblea Nazionale dell’Ecuador e ha divulgato alcuni dei dati. All’inizio di questo mese, Kaputskiy e il suo amico Kasimierz L hanno hackerato il sito ufficiale del Ministero dell’Industria argentino. Entrambi gli attacchi sono stati eseguiti sfruttando una vulnerabilità di SQL injection.
È stato eseguito un grave attacco informatico contro il gigante siderurgico tedesco ThyssenKrupp, mirato a rubare il know-how tecnologico e la ricerca. L’individuazione precoce dell’attacco ha aiutato a prevenire conseguenze più gravi. L’indagine è in corso.
Sicurezza nel Database
Di seguito sono riportate le vulnerabilità trovate a dicembre.
In versioni di Django prima di 1.8.16, 1.9.11, e 1.10.3 viene utilizzata una password hardcoded per un utente temporaneo del database creato durante l’esecuzione dei test del database Oracle. Lo sfruttamento facilita l’accesso di un attaccante remoto al server del database specificando una password nel dizionario delle impostazioni TEST del database.
CVSS Gravità: 9.8 Critico
È stato menzionato nel digest di ottobre, e ora abbiamo più informazioni a riguardo.
Quando si utilizza il logging basato su file, consente agli utenti locali che hanno accesso all’account mysql di ottenere privilegi di root con l’attacco di symlink sui log degli errori.
CVSS Gravità: 7.0 Alto
È stato menzionato anche nei precedenti digest.
Consente agli utenti locali con pochi permessi di ottenere privilegi sfruttando l’uso della funzione my_copystat tramite il comando REPAIR TABLE mirato alla tabella MyISAM.
CVSS Gravità: 7.0 Alto
Dà l’opportunità a un attaccante con nome utente o nome tabella creati ad hoc di iniettare istruzioni SQL nella funzionalità di tracking che verrebbero eseguite con i privilegi dell’utente di controllo. L’uso sfruttamento concede accesso in lettura e scrittura alle tabelle del database di archiviazione della configurazione; se l’utente di controllo ha i privilegi necessari, un attaccante può leggere alcune tabelle del database MySQL.
CVSS Gravità: 7.5 Alto
Problema XSS in phpMyAdmin. Il contenuto della colonna utile di Ricerca Zoom può essere utilizzato per attivare un attacco XSS. Alcuni campi nell’editor GIS non sono correttamente esentati, quindi possono essere utilizzati anche per un attacco XSS.
CVSS Gravità: 6.1 Medio
MariaDBCVE-2016-7740
Facilita agli utenti locali la scoperta delle chiavi AES sfruttando le differenze temporali della cache-bank.
CVSS Gravità: 5.5 Medio
Versioni interessate: Pivotal Greenplum prima della versione 4.3.10.0
Comandi arbitrari possono essere iniettati nel sistema sfruttando la vulnerabilità nel processo di creazione di tabelle esterne usando GPHDFS. L’uso richiede l’accesso da superuser ‘gpadmin’ al sistema o permessi del protocollo GPHDFS.
CVSS Gravità: 7.2 Alto
MySQL 5.6.35
La nuova release contiene correzioni di bug noti, miglioramenti delle prestazioni e della sicurezza.
Le modifiche alla sicurezza includono:
- Il comando chown ora può essere utilizzato solo quando la directory di destinazione è /var/log. Se la directory per il socket Unix è mancante, si verifica un errore. L’uso non sicuro dei comandi rm o chown nella sezione mysql_safe di un file di opzioni cnf potrebbe portare a un’escalation dei privilegi.
- Ora, l’opzione –ledir non è accettata nei file di opzioni, solo dalla linea di comando.
- Gli script di inizializzazione nella nuova versione creano il file di log degli errori a condizione che la directory principale sia /var/lib o /var/log.
- I file del sistema non utilizzati per SLES sono stati rimossi.
- L’Enterprise Encryption per MySQL Enterprise Edition ora consente agli amministratori del server di imporre limiti sulla lunghezza massima della chiave impostando variabili di ambiente. Queste possono essere utilizzate per impedire ai client di consumare risorse CPU eccessive passando lunghezze di chiavi molto lunghe alle operazioni di generazione delle chiavi.
- Il Plugin di Controllo Collegamenti. Dopo un certo numero di tentativi consecutivi falliti di accedere agli account utente MySQL, il ritardo nella risposta del server aumenta. Il nuovo plugin è progettato per rallentare gli attacchi di forza bruta.
Greenplum Database 4.3.11.0
Greenplum Database 4.3.11.0 include i seguenti miglioramenti:
- Esecuzione Migliorata PQO Query
- Cancellazione delle Query Migliorata
- Esecuzione Migliorata delle Query con Hash Aggregates
- Gestione Migliorata della Memoria del Database Greenplum
- Gestione Migliorata delle Righe Eliminate nelle Tabelle Persistenti
- Ambiente PL/Java Migliorato per lo Sviluppo
- gptransfer Trasferisce Dati da Tabelle Partizionate a Non-partizionate
Teradata Database 16.00
Teradata Database 16.00 ha molte nuove funzionalità e miglioramenti seguendo categorie strategiche di Esecuzione Adattiva, Big Data & UDA Enabling, Estreme Performance, Alta Disponibilità, Compatibilità dell’Industria, Qualità e Supportabilità, Semplicità e Facilità d’Uso. Note di rilascio dettagliate si possono trovare qui.
Per quanto riguarda le questioni di sicurezza, il nuovo rilascio contiene i seguenti miglioramenti:
Autorizzazione LDAP Leggera. Permette agli utenti di utilizzare i servizi directory esistenti per autorizzare gli utenti del Database Teradata, senza la necessità di modificare la directory per includere schemi, strutture e voci specifiche di Teradata. Funziona con i server di directory conformi a LDAPv3 (LDAP e KRB5). Ha migliorato le prestazioni di accesso rispetto ai meccanismi di autorizzazione legacy.
Il tool tdgssauth è utilizzato per testare le configurazioni del meccanismo di sicurezza TDGSS sui nodi di Teradata Database e sui server Unity Director. Testa i fallimenti delle policy offline, l’autenticazione e l’autorizzazione corrette. Sebbene tdgssauth non possa testare i meccanismi Proxy, è uno strumento robusto per imporre la policy di sicurezza consentendo il debugging live senza causare l’arresto dell’esecuzione del database.
Directory di Installazione Selezionabile dall’Utente (USD). Serve per stabilire connessioni sicure tra un client e un server con l’aiuto dell’interfaccia Teradata Generic Security Service (GSS). Ora la cartella principale o l’unità per l’installazione possono essere specificate dall’utente.
Digest Sicurezza Database – NovembreDigest Sicurezza Database – Ottobre
Digest Sicurezza Database – Settembre
