Фундаментальная уязвимость обнаружена в MS SQL Server, MySQL и PostgreSQL

Разработчик популярного среди ИТ-администраторов программного средства SQLMap Бернардо Гаимараес говорит, что ему удалось обнаружить фундаментальную уязвимость в базах данных MS SQL Server, MySQL и PostreSQL, эксплуатация которой способна привести не только в получению контроля над самой базой данных, но и операционной системой, в этой эта БД работает.

Конкретные подробности своей находки Гаимараес намерен представить в середине апреля на ИТ-конференции Black Hat в Амстредаме. Сейчас исследователь говорит, что обнаруженная им уязвимость может быть задействована при проведении атаки типа SQL-инъекция.

SQL-инъекция или, говоря иначе внедрение SQL-кода, на сегодня является одним из распространённых способов взлома сайтов и программ, работающих с базами данных, основанный на внедрении в запрос произвольного SQL-кода. Внедрение SQL, в зависимости от типа используемой СУБД и условий внедрения, может дать возможность атакующему выполнить произвольный запрос к базе данных (например, прочитать содержимое любых таблиц, удалить, изменить или добавить данные), получить возможность чтения и/или записи локальных файлов и выполнения произвольных команд на атакуемом сервере. В большинстве случаев атака типа внедрения SQL может быть возможна из-за некорректной обработки входящих данных, используемых в SQL-запросах.Разработчик популярного среди ИТ-администраторов программного средства SQLMap Бернардо Гаимараес говорит, что ему удалось обнаружить фундаментальную уязвимость в базах данных MS SQL Server, MySQL и PostreSQL, эксплуатация которой способна привести не только в получению контроля над самой базой данных, но и операционной системой, в этой эта БД работает.

Конкретные подробности своей находки Гаимараес намерен представить в середине апреля на ИТ-конференции Black Hat в Амстредаме. Сейчас исследователь говорит, что обнаруженная им уязвимость может быть задействована при проведении атаки типа SQL-инъекция.

SQL-инъекция или, говоря иначе внедрение SQL-кода, на сегодня является одним из распространённых способов взлома сайтов и программ, работающих с базами данных, основанный на внедрении в запрос произвольного SQL-кода. Внедрение SQL, в зависимости от типа используемой СУБД и условий внедрения, может дать возможность атакующему выполнить произвольный запрос к базе данных (например, прочитать содержимое любых таблиц, удалить, изменить или добавить данные), получить возможность чтения и/или записи локальных файлов и выполнения произвольных команд на атакуемом сервере. В большинстве случаев атака типа внедрения SQL может быть возможна из-за некорректной обработки входящих данных, используемых в SQL-запросах.

Однако в случае разработки Гаимараеса, одновременно с внедрением SQL-кода происходит также и переполнение буфера обмена базы данных, что позволяет провести дальнейшую атаку на операционную систему. Проведение атаки для SQL Server и для Mysql/PostgreSQL несколько различаются, но эффект в каждом случае один и тот же — полный захват контроля над сервером баз данных.

«Я использовал SQL-инъекцию только как одну из ступеней для достижения своей цели, которая заключалась в получении контроля над серверной операционной системой. Для подготовки к этой атаке была проведена большая работа, связанная с манипулированием и фильтрацией данных», — говорит он.

По его словам, предварительные данные показывают, что новой атаке подвержены «слишком много» сайтов, поэтому раскрывать данные о ней сейчас было бы чересчур опасно. По оценкам Гаимараеса, из всех сайтов, работающих на базе SQL Server/MySQL/PostgreSQL, примерно 10% подвержены данной атаке.

Сейчас для того, чтобы минимизировать угрозу атаки эксперт рекомендует проверить безопасность веб-приложений, а также по возможности сократить число пользовательских записей, авторизовавшись по которым, можно работать с базами данных.