In der Datenbanksoftware MySQL und auch in den Abspaltungen MariaDB und Percona hat ein Sicherheitsforscher Schwachstellen gefunden. Ein Angreifer kann über die Lücken den Datenbankprozess dazu bringen, eigenen Schadcode mit Systemrechten auszuführen.

Sowohl über eine angemeldete Verbindung kann der Code in den Datenbankserver eingeschleust werden, als auch über eine SQL-Injection-Lücke, zum Beispiel über ein Suchfeld in einem Webinterface. Die Angriffe sind auf modernen Linux-Systemen, die Prozesse mit Systemd steuern, wohl nicht ohne weiteres möglich.

Im Wrapper-Skript mysqld_safe, das auf manchen Systemen dazu verwendet wird, den MySQL-Prozess zu starten, befindet sich eine der Lücken (CVE-2016-6663). Wenn ein Angreifer bösartigen Code über die zweite MySQL-Lücke (CVE-2016-6662) in das System einschleust und sich daraus eine Bibliothek baut, kann er diese in einer Konfigurationsdatei aufrufen. Zwar würde der eigentliche MySQL-Prozess diese nicht laden, das Wrapper-Skript hingegen schon. Der Schadcode wird dann auch mit Root-Rechten ausgeführt. Da Systemd den MySQL-Daemon in der Regel selbst startet, wird der Schadcode auf solchen Systemen nicht ausgeführt. Theoretisch kann auch hier das Wrapper-Skript bei Updates aufgerufen werden. Allerdings wird der MySQL-Prozess auf Datenbankservern nur selten für Updates neu gestartet.

Das Problem haben MariaDB und Percona bereits mit Updates behoben. Der Entdecker entschloss sich, die Details der Schwachstellen zu veröffentlichen, da die Updates für MySQL erst bei Oracles nächstem Critical Patch Update im Oktober zu erwarten sind und die Details der Lücken bereits mit den Open-Source-Updates bekannt wurden. Er hatte nach eigenen Angaben Oracle 40 Tage Zeit gegeben, die Lücken zu schließen. Bis ein Update erscheint, können Admins ihre Systeme damit schützen, indem sie dem mysql-Nutzer die Besitzrechte für die .cnf-Konfigurationsdateien von MySQL entziehen. Diese Rechtezuteilung an den mysql-Nutzer benötigt der Datenbankprozess nicht zum einwandfreien Betrieb.

(ts, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE