安全资讯/
UCloud-201611-002: MySQL/MariaDB/PerconaDB提权/条件竞争高危漏洞安全预警
-
UCloud-201611-002: MySQL/MariaDB/PerconaDB提权/条件竞争高危漏洞安全预警
尊敬的UCloud用户:MySQL爆出高危漏洞CVE-2016-6663和CVE-2016-6664，综合利用可导致本地低权限用户提升到系统root权限，危害较大。您使用的MySQL UDB已经确认不会受到此漏洞影响，请继续放心使用，UCloud安全团队会持续为您保驾护航。请您及时检查自安装的MySQL是否受到影响，如需购买MySQL UDB请前往：https://ucloud.cn/site/product/udb.html。
影响范围1)MySQL: <= 5.5.51、 <= 5.6.32、 <= 5.7.142)MariaDB ：< 5.5.52、< 10.1.18、< 10.0.283)Percona Server： < 5.5.51-38.2、 < 5.6.32-78-1、 < 5.7.14-84)Percona XtraDB Cluster： < 5.5.41-37.0、< 5.6.32-25.17 、< 5.7.14-26.17
修复方案1.升级官网最新版本PerconaXtraDBCluster：https://www.percona.com/downloads/Percona-XtraDB-Cluster-57/LATEST/2.临时措施：修改配置文件，在my.cnf中添加：symbolic-links = 0，修改完毕后请重启服务生效。请提前做好充分的测试。
漏洞详情（1）CVE-2016-6663 / CVE-2016-5616MySQL数据库中存在条件竞争漏洞，该漏洞允许本地用户使用低权限(CREATE/INSERT/SELECT权限)账号提升权限到数据库系统用户（通常是’mysql’）执行任意代码。成功利用此漏洞，允许攻击者完全访问数据库。（2）CVE-2016-6664 / CVE-2016-5617MySQL数据库对error日志的权限处理不当，拥有普通用户权限的攻击者可以将其替换为脚本文件，从而实现将本地低权限账户提权到root权限。综合利用以上两个漏洞可以实现本地低权限用户提升到系统root权限
参考链接*本平台所发布文章信息，版权归UCloud所有，如需转载请注明出处！
云安全团队
