日前，來自國內(nèi)的首個國際數(shù)據(jù)庫安全漏洞獲得CVE認證，并得到數(shù)據(jù)庫廠商確認，此漏洞由918搏天堂數(shù)據(jù)庫安全攻防實驗室發(fā)現(xiàn)并提交，編號：CVE-2017-1310。該漏洞存在于國際數(shù)據(jù)庫品牌Informix數(shù)據(jù)庫中，屬中高危漏洞，利用者可以通過此漏洞控制Informix服務器執(zhí)行任何函數(shù)，進而影響或中斷數(shù)據(jù)庫服務。這是國內(nèi)首個經(jīng)CVE認證的國際數(shù)據(jù)庫漏洞，目前IBM已確認此漏洞并發(fā)布更新版本，請廣大用戶及時進行系統(tǒng)升級。

漏洞信息

影響數(shù)據(jù)庫版本

Informix Dynamic Server 12.10

漏洞詳情

類型：緩沖區(qū)溢出漏洞

威脅程度：CVSS score: 6.5

CVEID：cve-2017-1310

產(chǎn)生原因：Informix 格式化輸出函數(shù)FORMAT_UNITS對用戶輸入沒有進行有效的格式檢查，而直接將用戶輸入拷貝到堆棧緩沖區(qū)中，控制函數(shù)返回地址，從而控制服務器。

危害與影響：

1）Informix對調(diào)用函數(shù)FORMAT_UNITS所要求的權(quán)限非常低，數(shù)據(jù)庫普通用戶只要具備連接權(quán)限，就可觸發(fā)此函數(shù)，導致代碼注入及服務器異常；

2）通過構(gòu)造精密的返回值，用戶可以控制Informix服務器執(zhí)行任何函數(shù)，從而造成進一步危害，比如控制服務器立刻停止數(shù)據(jù)服務；

3）即便沒有黑客能力，用戶通過簡單的超長字符串的輸入，反復執(zhí)行函數(shù)，就可導致Informix系統(tǒng)異常，產(chǎn)生大量警告文件，占滿服務器磁盤，導致服務器崩潰。另外，Informix 服務器設(shè)計上，地址空間固定，無法使用地址空間隨機分布，如此一來，黑客可預先得知服務器地址分布，從而進行更有針對性的攻擊或與其他漏洞組合發(fā)起更大規(guī)模的網(wǎng)絡(luò)攻擊，產(chǎn)生不可預測的系統(tǒng)性風險。

突破-數(shù)據(jù)庫安全研究能力的進階

作為信息系統(tǒng)的核心基礎(chǔ)設(shè)施，數(shù)據(jù)庫技術(shù)的難度及復雜度極高，我們看到國內(nèi)外頻繁舉辦各類網(wǎng)絡(luò)安全攻防大賽，然而相關(guān)數(shù)據(jù)庫技術(shù)的攻防大賽卻很少見。事實上，國內(nèi)真正具備數(shù)據(jù)庫安全攻防研究能力的團隊，少之又少，加之國際數(shù)據(jù)庫的代碼封閉性，在此之前，從未有國內(nèi)安全團隊成功發(fā)現(xiàn)國際數(shù)據(jù)庫漏洞，本次漏洞的發(fā)現(xiàn)和認證，標志國內(nèi)團隊數(shù)據(jù)庫安全研究能力的進階，具有里程碑式的意義。

深入——展現(xiàn)卓越攻防研究能力

918搏天堂數(shù)據(jù)庫攻防實驗室（DBSec Labs）于2010年11月成立，是我國最早的一支，針對數(shù)據(jù)庫安全漏洞、數(shù)據(jù)庫攻擊技術(shù)模擬和數(shù)據(jù)庫安全防護技術(shù)進行研究的專業(yè)隊伍，也是目前國內(nèi)唯一具備數(shù)據(jù)庫攻防能力和漏洞研究能力的安全實驗室。其中，對數(shù)據(jù)庫安全漏洞進行研究，是DBSLab的首要職責，目前，DBSLab發(fā)現(xiàn)的多個數(shù)據(jù)庫安全漏洞應得到相關(guān)漏洞平臺及廠商確認，本次國際主流數(shù)據(jù)庫漏洞的發(fā)現(xiàn)和認證只是開始。當前我國各行業(yè)廣泛使用Oracle、SQL Server和DB2等國外數(shù)據(jù)庫產(chǎn)品，關(guān)系國家和民生安全，需要國內(nèi)安全團隊加大對其的安全研究，這也是918搏天堂組建此研究團隊的初衷。

求實——研究實力轉(zhuǎn)化為產(chǎn)品價值

當然，918搏天堂的各項研究成果不會止步于研究層面，而是將這份成果快速轉(zhuǎn)化為安全防護能力，推動技術(shù)研發(fā)落地，從而形成更過硬的安全產(chǎn)品交付用戶，這是918搏天堂能夠一直保持行業(yè)領(lǐng)先地位的根基。未來，918搏天堂將持續(xù)投入技術(shù)及人才，參與國際化的漏洞研究，為用戶提供及時詳盡的安全預警，規(guī)避安全風險。