您好,登錄后才能下訂單哦!
這篇文章主要為大家展示了“MySQL曝中間人攻擊Riddle漏洞可致用戶名密碼泄露怎么辦”,內(nèi)容簡(jiǎn)而易懂,條理清晰,希望能夠幫助大家解決疑惑,下面讓小編帶領(lǐng)大家一起研究并學(xué)習(xí)一下“MySQL曝中間人攻擊Riddle漏洞可致用戶名密碼泄露怎么辦”這篇文章吧。
針對(duì)MySQL 5.5和5.6版本的Riddle漏洞會(huì)經(jīng)由中間人攻擊泄露用戶名密碼信息。請(qǐng)盡快更新到5.7版本。
Riddle漏洞存在于DBMS Oracle MySQL中,攻擊者可以利用漏洞和中間人身份竊取用戶名和密碼。
“Riddle是一個(gè)在Oracle MySQL 5.5和5.6客戶端數(shù)據(jù)庫(kù)中發(fā)現(xiàn)的高危安全漏洞。允許攻擊者在中間人位置使用Riddle漏洞破壞MySQL客戶端和服務(wù)器之間的SSL配置連接?!甭┒疵枋鰧懙?。“此漏洞是一個(gè)非常危險(xiǎn)的漏洞,因?yàn)槭紫人鼤?huì)影響MySQL – 非常流行的SQL數(shù)據(jù)庫(kù) – 其次會(huì)影響SSL連接,根據(jù)SSL的定義,它理應(yīng)是安全的?!?br/>
Riddle漏洞的編號(hào)為CVE-2017-3305,當(dāng)MySQL 5.5和5.6向服務(wù)器發(fā)送數(shù)據(jù),包括用戶名密碼時(shí),攻擊者可以捕獲它們。
針對(duì)5.5.49、5.6.30版本的安全更新并沒有完全修復(fù)漏洞。專家注意到,5.7版本之后以及MariaDB系統(tǒng)沒有受到漏洞影響。
安全研究員Pali Rohár稱,導(dǎo)致Riddle漏洞的原因是之前存在于MySQL數(shù)據(jù)庫(kù)中的BACKRONYM漏洞沒有被修復(fù)。Backronym漏洞能在中間人攻擊時(shí)用來泄露密碼,即使流量經(jīng)過加密。
“針對(duì)穩(wěn)定版本的MySQL 5.5.49和5.6.30的安全更新中添加了在驗(yàn)證過程完成后對(duì)安全參數(shù)的驗(yàn)證?!薄坝捎趧?dòng)作是驗(yàn)證完成后做出的,因此利用Riddle進(jìn)行中間攻擊再與SSL降級(jí)配合,攻擊者就可以竊取登錄數(shù)據(jù)進(jìn)行身份驗(yàn)證并登錄到MySQL服務(wù)器,“Rohár寫道。
“有趣的是,當(dāng)MySQL服務(wù)器拒絕驗(yàn)證用戶時(shí),MySQL客戶端不會(huì)報(bào)告任何與SSL相關(guān)的錯(cuò)誤,而是會(huì)報(bào)告服務(wù)器發(fā)送的未加密的錯(cuò)誤消息。而這些錯(cuò)誤消息由中間人攻擊者控制的?!?/p>
專家建議將客戶端軟件更新為MySQL 5.7或MariaDB,因?yàn)檫@些應(yīng)用程序的安全更新是能夠正常工作的。
PoC
作者給出了用Perl寫的PoC腳本。它會(huì)在本地3307端口開啟riddle,MySQL服務(wù)器運(yùn)行在localhost:3306。
在中間人服務(wù)器運(yùn)行riddle:
$ perl riddle.pl
將MySQL客戶端與riddle連接:
$ mysql --ssl-mode=REQUIRED -h 127.0.0.1 -P 3307 -u user -p password
如果你提供了正確的用戶名密碼,riddle就會(huì)連接到服務(wù)器,執(zhí)行SQL語(yǔ)句并輸出:
SELECT COUNT(*) FROM information_schema.TABLES --> 121
MySQL客戶端會(huì)收到一條由riddle發(fā)送的錯(cuò)誤信息:
ERROR 1045 (28000): Access denied: MITM attack
Oracle修復(fù)漏洞不及時(shí)
Riddle漏洞在二月份被發(fā)現(xiàn),但是這個(gè)漏洞仍然能夠影響到Oracle MySql軟件。
“如果你不是Oracle客戶的話,向他們報(bào)告漏洞是沒有用的(即使是與安全相關(guān)的漏洞)。他們可以完全忽視任何報(bào)告,如果沒人知道的話,他們會(huì)很高興,因此不用修復(fù)漏洞了,“Rohár解釋說。
以上是“MySQL曝中間人攻擊Riddle漏洞可致用戶名密碼泄露怎么辦”這篇文章的所有內(nèi)容,感謝各位的閱讀!相信大家都有了一定的了解,希望分享的內(nèi)容對(duì)大家有所幫助,如果還想學(xué)習(xí)更多知識(shí),歡迎關(guān)注億速云行業(yè)資訊頻道!
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng),如果涉及侵權(quán)請(qǐng)聯(lián)系站長(zhǎng)郵箱:is@yisu.com進(jìn)行舉報(bào),并提供相關(guān)證據(jù),一經(jīng)查實(shí),將立刻刪除涉嫌侵權(quán)內(nèi)容。