青娱乐极品视频,国产大片在线,日本韩国理论电影

Oracle MySQL 5.5和5.6正受到Riddle漏洞影響，請立即更新到5.7！丨附下載

原創(chuàng)|行業(yè)資訊|編輯：黃竹雯|2017-04-20 10:51:19.000|閱讀 310 次

概述：Riddle漏洞是Oracle MySQL 5.5和5.6客戶端數(shù)據(jù)庫中發(fā)現(xiàn)的關鍵安全漏洞。該漏洞允許攻擊者使用‘中間人攻擊’來破壞MySQL客戶端和服務器之間的SSL配置連接。

流行的數(shù)據(jù)庫管理系統(tǒng)（DBMS）Oracle MySQL 中發(fā)現(xiàn)了被稱為“The Riddle”的編碼漏洞，該漏洞允許攻擊者利用MiTM（man-in-the-middle，中間人）來竊取用戶的用戶名和密碼等登錄憑證。用戶請立即更新到5.7版本。

【MySQL v5.7點擊下載>>>】

中間人攻擊（MiTM）

MiTM 攻擊（Man-in-the-MiddleAttack）是一種“間接”的入侵攻擊，這種攻擊模式是通過各種技術手段將受入侵者控制的一臺計算機虛擬放置在網(wǎng)絡連接中的兩臺通信計算機之間，這臺計算機就稱為“中間人”。例如SMB會話劫持、DNS欺騙等攻擊都是典型的MITM攻擊。

Riddle漏洞

Riddle漏洞是Oracle MySQL 5.5和5.6客戶端數(shù)據(jù)庫中發(fā)現(xiàn)的關鍵安全漏洞。該漏洞允許攻擊者使用‘中間人攻擊’來破壞MySQL客戶端和服務器之間的SSL配置連接。這個漏洞是一個非常關鍵的安全漏洞，因為它影響到MySQL（一個非常流行的SQL數(shù)據(jù)庫，SSL連接由其定義安全。）

該漏洞編號為“CVE-2017-3305”，可以潛在地將用戶登錄憑證暴露給攻擊者，當MySQL客戶端5.5和5.6將這些用戶憑證信息發(fā)送到服務器時，攻擊者就能夠順利捕獲它們。

針對5.5.49和5.6.30版本發(fā)布的安全更新無法完全解決這一安全漏洞。5.7及更高版本以及MariaDB系統(tǒng)不受該安全問題的影響。

根據(jù)安全研究人員 Pali Rohár 所言，他們曾經(jīng)嘗試利用影響MySQL數(shù)據(jù)庫的BACKRONYM漏洞的修補方式來修復Riddle漏洞，但是結果失敗了。Backronym漏洞也同Riddle漏洞一樣，允許攻擊者運行中間人攻擊來竊取用戶登錄憑證，即使流量已經(jīng)被加密也無法阻止。

MySQL 5.5.49以及5.6.30 穩(wěn)定版的安全更新包括在驗證過程完成后添加安全參數(shù)的驗證。因為驗證完成后，攻擊者可以使用中間人攻擊與 SSL 降級攻擊來竊取用戶的登錄數(shù)據(jù)，以便立即進行身份驗證并登錄 MySQL 服務器，可笑的部分是，MySQL 客戶端不會在MySQL服務器拒絕驗證用戶時報告任何與 SSL 問題相關的錯誤，而是報告服務器發(fā)送的未加密的錯誤信息。此外，當中間人攻擊處于活躍狀態(tài)時，錯誤信息可以由攻擊者控制。

更新建議

安全專家建議用戶盡快將客戶端軟件更新到MySQL 5.7 或 MariaDB，因為這些應用程序的安全更新正在正常運行，未受該安全漏洞影響。需要注意的是，這個漏洞雖然早在今年2月份就已經(jīng)發(fā)現(xiàn)了，但是目前仍然在影響Oracle MySql軟件。

如果你不是Oracle 用戶，那么你對他們報告安全漏洞是無用的（即使確實是與安全相關的漏洞）。他們可以完全無視這些安全報告，甚至希望任何人都不要知道這些報告和漏洞的存在，所以至此他們都沒有對漏洞進行修復。所以，立即向用戶公開披露這些安全漏洞看來是最有效的解決方案，因為這樣可以讓用戶知道一旦受影響應該做什么，有效的保護用戶數(shù)據(jù)安全。

試用、下載、了解更多產品信息請點擊""

標簽：數(shù)據(jù)庫

本站文章除注明轉載外，均為本站原創(chuàng)或翻譯。歡迎任何形式的轉載，但請務必注明出處、不得修改原文相關鏈接，如果存在內容上的異議請郵件反饋至chenjj@ke049m.cn

上一篇：一文看懂數(shù)據(jù)可視化：從編程工具到可視化表現(xiàn)方式下一篇：SPSS干貨：區(qū)分T檢驗與F檢驗