【每日安全资讯】某国产数据库发现超高危漏洞 可能存在重大风险
近日，某国产数据库确认存在一超高危漏洞，可能导致重大安全风险。该漏洞被“国家信息安全漏洞库”（CNNVD）发布并得到数据库厂商官方确认，漏洞编号CNNVD-201702-977。
这是目前该国产数据库被确认的唯一超高危漏洞，利用此漏洞可以直接夺取操作系统最高控制权限。
通常，我们按照对数据库的机密性、完整性和可用性的影响程度，对安全漏洞进行等级评定，可分为四个级别：低危-中危-高危-超危，其中，超危和高危漏洞必须及时处理，否则可能造成大规模系统性风险。这里从几个维度对本次超危漏洞进行分析，能够让大家对此漏洞有全面认识，并采取有效措施防范和补救。
漏洞产生原因
超危漏洞-CNNVD-201702-977主要是由两部分安全问题共同导致：
1、 在操作系统上数据库账号应该只能对database_home下的文件进行操作，但该数据库并没有在这部分做足够的限制；
2、 数据库会存在一些和操作系统上文件进行交互的函数，这部分函数的访问权限处理存在缺陷。
此漏洞的出现正是基于这两部分的安全问题，入侵者可以通过登录低权限的数据库账户，向操作系统启动文件夹中植入文件，系统自动启动该程序，数据库账户将直接获得操作系统的最高控制权。
漏洞危害
当入侵者通过利用该漏洞获取操作系统最高权限后，可以对操作系统控制下的所有的软件、应用、数据库等进行控制，可能严重影响业务运转或造成大规模数据泄露、篡改等事件。更严重的是，通过控制一个操作系统，可以以此为跳板，对整个局域网发起网络攻击，此操作系统沦为肉鸡。
棱镜门事件之后，国家进一步提出对信息化关键基础设施的国产化号召，去IOE的趋势蔓延各个行业。数据库系统作为存储数据资产的核心基础设施，更应重视。
本次CNNVD对这一超危漏洞的发布，请用户予以重视，及时检查更新，规避可能导致的大规模数据资产损失。
更多资讯
AES256加密被破一套1500元设备5分钟内搞定
http://t.cn/RKR6lPw
黑客现在可以通过VSAT系统黑掉船只
http://t.cn/RKR6lSu
CoinDash 代币众售网站遭到攻击，地址被替换
http://t.cn/RKR6leW
经济参考报：防范快递业信息泄露须内外联控
http://t.cn/RKR6jMN
（信息来源于网络，安华金和搜集整理）