Sprístupnená vývojová verzia MySQL 8, v existujúcich verziách vážna chyba

Značky: MySQLprogramovanie

DSL.sk, 14.9.2016

Spoločnosť Oracle tento týždeň sprístupnila verejnú vývojovú verziu novej hlavnej verzie populárneho open source databázového servera MySQL používaného napríklad mnohými webovými stránkami, MySQL 8.0.0.

MySQL 8.0

V oznámení sprístupnenia novej verzie avizuje niekoľko desiatok noviniek a zmien.

Najväčšou zo zatiaľ avizovaných je prechod od ukladania informácií o štruktúre databáz a tabuliek v samostatných FRM, TRG a PAR súboroch k ukladaniu vo forme SQL tabuliek v InnoDB. Vďaka tomu sa DDL príkazy manipulujúce so štruktúrou databáz stanú atomické a odolné pádom a zvýši sa spoľahlivosť.

Naďalej už nebude potrebná ani podpora enginu MyISAM, ktorý bude môcť byť odstránený.

V novej verzii bude MySQL podporovať zmenu indexov na tzv. neviditeľné, ktoré nebudú brané do úvahy pri vykonávaní a optimalizácii príkazov. Účelom je možnosť otestovať, či daný index prispieva k výkonu alebo ho je možné odstrániť.

Podporované budú štandardné SQL role, sady oprávnení.

Zlepšená bude podpora UTF8, pričom cieľom je prejsť zo štandardnej znakovej sady latin1 na utf8mb4. Podpora Unicode bude upgradnutá na 9.0.0.

Prejsť sa má na novú infraštruktúru pluginov.

Vo viacerých ohľadoch má byť zlepšený výkon, pribudne podpora histogramov o dátach, podpora viacerých geografických súradnicových systémov, bitové operácie nad binárnymi dátovými typmi, funkcie pre spracovanie IPv6 adries.

Súčasná posledná hlavná verzia MySQL nesie označenie 5.7. Nová verzia nesie označenie až 8.0 keďže plánovaná väčšia pôvodná verzia 6 bola zrušená a verzia 7 sa používa pre klastrovú verziu MySQL.

Kompletný zoznam noviniek a zmien prítomných v zatiaľ sprístupnenej verzii 8.0.0 je možné nájsť na dev.mysql.com.

Chyby v súčasných verziách

Zároveň v pondelok bezpečnostný expert Dawid Golunski zverejnil informácie o vážnej bezpečnostnej chybe v súčasných podporovaných verziách MySQL 5.7, 5.6 a 5.5.

Predpokladom chyby je prístup k MySQL serveru aj s limitovanými oprávneniami, ktoré je možné vďaka chybe využiť na získanie root oprávnení k operačnému systému.

Chybu je možné podľa Golunskeho zneužiť v takmer všetkých štandardných konfiguráciách v linuxových distribúciách, ktoré samotný MySQL server spúšťajú pomocou skriptu mysqld_safe.

Samotná chyba spočíva v skutočnosti, že MySQL umožňuje užívateľovi s prístupom zapnúť logovanie všetkých vykonávaných SQL príkazov do ľubovoľného súboru. Tak môže prepísať konfiguračný súbor celého MySQL, ak je vlastnený užívateľom pod ktorým sa MySQL server spúšťa, alebo doplniť ďalší konfiguračný súbor vo /var/lib/mysql/ akceptovaný verziami 5.5 a 5.6 a podľa Golunskeho vo veľa konfiguráciách aj MySQL 5.7.

Do konfiguračného súboru je možné ale vložiť direktívu pre použitie podvrhnutej knižnice pri štarte, ktorú načíta mysqld_safe. Keďže ten beží pod root oprávneniami, umožňuje to užívateľovi s existujúcim prístupom k MySQL získať root oprávnenia.

Chyba je tak nebezpečná najmä pre použitia, pri ktorých má k MySQL serveru prístup viacero užívateľov s limitovanými oprávneniami, napríklad vo webhostingoch.

Golunski informácie o chybách zverejnil po tom, ako ich nahlásil Oraclu 29. júla.

Podľa Golunskeho sa chyba nachádza v MySQL aj jeho klonoch MariaDB a PerconaDB. Podľa jeho pôvodných informácií sa má nachádzať aj v aktuálnych verziách MySQL 5.7.15, 5.6.33 a 5.5.52, podľa zoznamu zmien v týchto nedávno vydaných verziách ale Oracle zrejme chyby už opravil.




Najnovšie články:



Diskusia:

MySQL este zije? Od: hmmm | Pridané: 14.9.2016 10:47 Vsak uz mame MariaDB Odpovedať Známka: 7.8 Hodnotiť:

Re: MySQL este zije? Od: 'PPQ' | Pridané: 14.9.2016 11:00 "Podľa Golunskeho sa chyba nachádza v MySQL aj jeho klonoch MariaDB a PerconaDB." Odpovedať Známka: 10.0 Hodnotiť:

Re: MySQL este zije? Od: _M_M_M_ | Pridané: 14.9.2016 11:29 Len ze v MariaDB uz ju opravili a v MySQL este stale nie. Odpovedať Známka: 8.3 Hodnotiť:

Mila redakcia Od: milaredakcia | Pridané: 14.9.2016 11:33 Mila redakcia, zda sa, ze to este stale nie je fixnute: https://security-tracker.debian.org/ {SPOJIT} tracker/CVE-2016-6662 mysql-5.5 (PTS) wheezy 5.5.47-0+deb7u1 vulnerable wheezy (security) 5.5.50-0+deb7u2 vulnerable jessie 5.5.49-0+deb8u1 vulnerable jessie (security) 5.5.50-0+deb8u1 vulnerable mysql-5.6 (PTS) stretch, sid 5.6.30-1 vulnerable Takze hocijaky klient, ktory ma aspon nejake opravnenia k databaze moze ziskat roota. No pekne. Alebo dokonca hocikno (neklient) ak u nejakeho klienta/webe najde SQL injection. Odpovedať Známka: 0.0 Hodnotiť:

Re: Mila redakcia Od: adsfad | Pridané: 14.9.2016 12:59 Ziadame vsetkych klientov MySQL, aby nehackovali databazu.... Odpovedať Známka: 10.0 Hodnotiť:

Re: Mila redakcia Od: gfgjfghhfg | Pridané: 14.9.2016 18:32 :D Odpovedať Známka: -3.3 Hodnotiť:

Re: Mila redakcia Od: klienti | Pridané: 14.9.2016 18:37 Vasu ziadost zamietame. Odpovedať Známka: 10.0 Hodnotiť:

Re: Mila redakcia Od reg.: Redakcia DSL.sk | Pridané: 15.9.2016 15:04 To, že to nie je opravené v starších verziách na Debiane, u ktorých nemuselo byť všetko backportnuté, samozrejme neindikuje, že to nie je opravené v posledných verziách MySQL. V spomínaných posledných verziách bolo podľa release notes celkovo zakázané logovanie do súborov .ini a .cnt, čo zrejme ten exploit eliminuje - https://www.percona.com/blog/2016/09/12/ database-affected-cve-2016-6662/ Odpovedať Hodnotiť:

Pridať komentár