MySQL には、サーバーの root 権限が盗まれる可能性がある高リスクの脆弱性があります
先週、Dawid Golunski というポーランドのハッカーが MySQL の脆弱性、つまりリモート ルート コード実行の脆弱性と権限昇格の脆弱性を発見しました。当時、Golunski 氏は最初の脆弱性の概念実証のみを提供しましたが、2 番目の脆弱性 (CVE-2016-6663) については後で詳細を明らかにすると約束しました。
火曜日、Golunski 氏は 2 つの脆弱性に関する PoC を発表しました。最初の PoC は以前の高リスクの権限昇格の脆弱性をターゲットにしており、もう 1 つの PoC は新しい root 権限昇格の脆弱性をターゲットにしており、攻撃者はこの脆弱性を利用してデータベース全体にアクセスできる可能性があります。 。
脆弱性番号
CVE-2016-6663
CVE-2016-6664
脆弱性は
MySQLバージョン
MySQL 派生: Perconaサーバー、MariaDB
脆弱性の紹介
特権昇格/競合状態の脆弱性 (CVE-2016-6663)
今週リリースされた 2 つの脆弱性のうち、より深刻なものは競合状態の脆弱性であり、低レベルの特権アカウントが許可される可能性があります。 (CREATE/INSERT/SELECT 権限付き) 権限を昇格し、システム ユーザーとして任意のコードを実行します。
この脆弱性が悪用されると、ハッカーはデータベース サーバー内のすべてのデータベースを正常に取得できます。
root 権限昇格 (CVE-2016-6664)
もう 1 つの脆弱性は、root 権限昇格の脆弱性です。この脆弱性により、MySQL システム ユーザー権限を持つ攻撃者が、システム全体をさらに攻撃するために権限を root に昇格させることができます。
実際、この問題の理由は、MySQL によるエラー ログやその他のファイルの処理が十分に安全ではないため、これらのファイルが任意のシステム ファイルに置き換えられ、root 権限を取得するために悪用される可能性があることです。
この脆弱性は、前述の権限昇格の脆弱性と併用するとより効果的です。ハッカーはまず権限昇格の脆弱性 (CVE-2016-6663) を利用して一般ユーザーをシステム ユーザーに昇格させ、次に root 権限昇格の脆弱性 (CVE) を利用します。 - 2016-6664) がさらに root ユーザーに昇格されました。
これらの脆弱性はすべて、共有環境で悪用される可能性があります。共有環境では、ユーザーは別々のデータベースにアクセスできます。これらの脆弱性を通じて、ハッカーはすべてのデータベースにアクセスできるようになります。
脆弱性PoC
Golunskiは、脆弱性1と脆弱性2の2つの脆弱性に対するPoCコードをリリースしました。
MySQL は両方の脆弱性を修正し、先月の四半期アップデートでパッチをリリースしました。
修復ソリューション
ウェブマスターはできるだけ早くパッチをインストールすることを強くお勧めします。パッチをすぐにインストールできない場合は、データベース サーバー構成でシンボリック リンクのサポートをオフにするという一時的な解決策を使用することもできます (シンボリック リンクを設定します)。 my.cnf = 0)。

ホットAIツール

Undress AI Tool
脱衣画像を無料で

Undresser.AI Undress
リアルなヌード写真を作成する AI 搭載アプリ

AI Clothes Remover
写真から衣服を削除するオンライン AI ツール。

Clothoff.io
AI衣類リムーバー

Video Face Swap
完全無料の AI 顔交換ツールを使用して、あらゆるビデオの顔を簡単に交換できます。

人気の記事

ホットツール

メモ帳++7.3.1
使いやすく無料のコードエディター

SublimeText3 中国語版
中国語版、とても使いやすい

ゼンドスタジオ 13.0.1
強力な PHP 統合開発環境

ドリームウィーバー CS6
ビジュアル Web 開発ツール

SublimeText3 Mac版
神レベルのコード編集ソフト(SublimeText3)

PHPに環境変数を設定する3つの主な方法があります。1。Php.iniを介したグローバル構成。 2。Webサーバー(apacheのsetenvやnginxのfastcgi_paramなど)を通過しました。 3。Phpスクリプトでcutenv()関数を使用します。その中でも、PHP.iniはグローバルおよび頻繁に変更された構成に適しており、Webサーバーの構成は分離する必要があるシナリオに適しており、Putenv()は一時的な変数に適しています。永続性ポリシーには、構成ファイル(PHP.INIまたはWebサーバーの構成など)、.ENVファイルにはDoTENVライブラリがロードされ、CI/CDプロセスの変数の動的注入が含まれます。セキュリティ管理に敏感な情報は、ハードコーディングを避ける必要があり、使用することをお勧めします。

PHPコンテナが自動構造をサポートできるようにするために、コアは連続統合(CI)プロセスの構成にあります。 1. DockerFileを使用して、基本的な画像、拡張インストール、依存関係管理、許可設定など、PHP環境を定義します。 2. GitlabciなどのCI/CDツールを構成し、.gitlab-ci.ymlファイルを介してビルド、テスト、展開段階を定義して、自動構造、テスト、展開を実現します。 3. phpunitなどのテストフレームワークを統合して、コードの変更後にテストが自動的に実行されることを確認します。 4. Kubernetesなどの自動展開戦略を使用して、deployment.yamlファイルを介して展開構成を定義します。 5. DockerFileを最適化し、マルチステージ構造を採用します

独立したPHPタスクコンテナ環境の構築は、Dockerを通じて実装できます。特定の手順は次のとおりです。1。基礎としてDockerとDockerMomposeをインストールします。 2。DockerFileおよびCrontabファイルを保存するための独立したディレクトリを作成します。 3. dockerfileを書き込み、phpcli環境を定義し、cronと必要な拡張機能をインストールします。 4.タイミングタスクを定義するためにCrontabファイルを書きます。 5。Docker-Compose.ymlマウントスクリプトディレクトリを作成し、環境変数を構成します。 6.コンテナを起動し、ログを確認します。 Webコンテナでタイミングタスクを実行するのと比較して、独立したコンテナには、リソースの分離、純粋な環境、強力な安定性、容易な拡張の利点があります。ロギングとエラーキャプチャを確保するため

[ロギング方法]を選択します。初期段階では、PHPに組み込みERROR_LOG()を使用できます。プロジェクトが拡張されたら、モノログなどの成熟したライブラリに切り替え、複数のハンドラーとログレベルをサポートし、ログにタイムスタンプ、レベル、ファイルのライン番号、エラーの詳細が含まれていることを確認してください。 2。設計ストレージ構造:少量のログをファイルに保存できます。多数のログがある場合は、多数の分析がある場合はデータベースを選択します。 mysql/postgresqlを使用して構造化されたデータを使用します。 ElasticSearch Kibanaは、半構造化/非構造化に推奨されます。同時に、バックアップと定期的なクリーニング戦略のために策定されています。 3。開発および分析インターフェイス:検索、フィルタリング、集約、視覚化機能が必要です。キバナに直接統合するか、PHPフレームワークチャートライブラリを使用して、インターフェイスのシンプルさと容易さに焦点を当てて自己開発を開発することができます。

この記事の目的は、eloquentormを使用して、Laravelフレームワークで関連データの高度な条件付きクエリとフィルタリングを実行して、データベース関係に「条件付き接続」を実装する必要性を解決する方法を探ることを目的としています。この記事では、MySQLにおける外部キーの実際の役割を明確にし、閉鎖関数と組み合わせたメソッドと雄弁さを介して角質除去協会モデルに条項を適用する方法を詳細に説明します。

MySQLは金融システムに最適化する必要があります。1。財務データを使用して、10進数タイプを使用した精度を確保する必要があり、タイムゾーンの問題を回避するために時間分野でデータを使用する必要があります。 2。インデックス設計は合理的でなければなりません。フィールドの頻繁な更新を避けてインデックスを構築し、クエリの順序でインデックスを組み合わせ、定期的に役に立たないインデックスをクリーンにします。 3.トランザクションを使用して、一貫性を確保し、トランザクションの粒度を制御し、長いトランザクションを回避し、それに埋め込まれた非コア操作を回避し、ビジネスに基づいて適切な分離レベルを選択します。 4。時間ごとに履歴データを分割し、コールドデータをアーカイブし、圧縮テーブルを使用してクエリ効率を向上させ、ストレージを最適化します。

tooptimizemysqlforreal-timedatafeeds、firstchoosetheinnodbstorageentionsionsionsionsionsionsionsionsionsionsdrow-fortemporarydata、およびpartitiontime-seriesdatabytime.second、indextrategivallyは、dexestowhere、

MySQLがクラウドに移動する価値があるかどうかは、特定の使用シナリオに依存します。あなたのビジネスを迅速に立ち上げる必要がある場合は、弾力的に拡張し、運用とメンテナンスを簡素化し、従量制のモデルを受け入れることができます。ただし、データベースが長期間安定している場合、レイテンシに敏感な、またはコンプライアンスの制限が制限されている場合、費用対効果が高い場合があります。コストを管理するためのキーには、適切なベンダーとパッケージの選択、リソースの合理的な構成、予約されたインスタンスの利用、バックアップログの管理、クエリパフォーマンスの最適化が含まれます。
