日前，來自國內的首個國際數據庫安全漏洞獲得CVE認證，并得到數據庫廠商確認，此漏洞由安華金和數據庫安全攻防實驗室發(fā)現并提交，編號：CVE-2017-1310。該漏洞存在于國際數據庫品牌Informix數據庫中，屬中高危漏洞，利用者可以通過此漏洞控制Informix服務器執(zhí)行任何函數，進而影響或中斷數據庫服務。這是國內首個經CVE認證的國際數據庫漏洞，目前IBM已確認此漏洞并發(fā)布更新版本，請廣大用戶及時進行系統(tǒng)升級。
影響數據庫版本
Informix Dynamic Server 12.10
漏洞詳情
類型：緩沖區(qū)溢出漏洞
威脅程度：CVSS score: 6.5
CVEID：cve-2017-1310
產生原因：Informix 格式化輸出函數FORMAT_UNITS對用戶輸入沒有進行有效的格式檢查，而直接將用戶輸入拷貝到堆棧緩沖區(qū)中，控制函數返回地址，從而控制服務器。
危害與影響：
1）Informix對調用函數FORMAT_UNITS所要求的權限非常低，數據庫普通用戶只要具備連接權限，就可觸發(fā)此函數，導致代碼注入及服務器異常；
2）通過構造精密的返回值，用戶可以控制Informix服務器執(zhí)行任何函數，從而造成進一步危害，比如控制服務器立刻停止數據服務；
3）即便沒有黑客能力，用戶通過簡單的超長字符串的輸入，反復執(zhí)行函數，就可導致Informix系統(tǒng)異常，產生大量警告文件，占滿服務器磁盤，導致服務器崩潰。另外，Informix 服務器設計上，地址空間固定，無法使用地址空間隨機分布，如此一來，黑客可預先得知服務器地址分布，從而進行更有針對性的攻擊或與其他漏洞組合發(fā)起更大規(guī)模的網絡攻擊，產生不可預測的系統(tǒng)性風險。
作為信息系統(tǒng)的核心基礎設施，數據庫技術的難度及復雜度極高，我們看到國內外頻繁舉辦各類網絡安全攻防大賽，然而相關數據庫技術的攻防大賽卻很少見。事實上，國內真正具備數據庫安全攻防研究能力的團隊，少之又少，加之國際數據庫的代碼封閉性，在此之前，從未有國內安全團隊成功發(fā)現國際數據庫漏洞，本次漏洞的發(fā)現和認證，標志國內團隊數據庫安全研究能力的進階，具有里程碑式的意義。
安華金和數據庫攻防實驗室（DBSec Labs）于2010年11月成立，是我國最早的一支，針對數據庫安全漏洞、數據庫攻擊技術模擬和數據庫安全防護技術進行研究的專業(yè)隊伍，也是目前國內唯一具備數據庫攻防能力和漏洞研究能力的安全實驗室。其中，對數據庫安全漏洞進行研究，是DBSLab的首要職責，目前，DBSLab發(fā)現的多個數據庫安全漏洞應得到相關漏洞平臺及廠商確認，本次國際主流數據庫漏洞的發(fā)現和認證只是開始。當前我國各行業(yè)廣泛使用Oracle、SQL Server和DB2等國外數據庫產品，關系國家和民生安全，需要國內安全團隊加大對其的安全研究，這也是安華金和組建此研究團隊的初衷。
當然，安華金和的各項研究成果不會止步于研究層面，而是將這份成果快速轉化為安全防護能力，推動技術研發(fā)落地，從而形成更過硬的安全產品交付用戶，這是安華金和能夠一直保持行業(yè)領先地位的根基。未來，安華金和將持續(xù)投入技術及人才，參與國際化的漏洞研究，為用戶提供及時詳盡的安全預警，規(guī)避安全風險。
產品咨詢：4000 258 365 
