El investigador Dawid Golunski ha descubierto múltiples vulnerabilidades graves que afectan al manejador de bases de datos de Open Source, MySQL, y sus derivados (MariaDB, Percona).

La vulnerabilidad CVE-2016-6662 puede ser explotada por atacantes para agregar o modificar las configuraciones de MySQL, lo que les podría permitir ejecutar código arbitrario con privilegios de root cuando se reinicie el servicio MySQL. Esto podría comprometer en su totalidad al servidor que ejecuta la versión vulnerable de MySQL.

"La vulnerabilidad afecta a todos los servidores MySQL que tengan las configuraciones predeterminadas en todas las ramas de las versiónes: 5.7, 5.6, y 5.5, y puede ser explotado por atacantes locales y remotos," Golunski explicó.

"Tanto el acceso autenticado a la base de datos MySQL (a través de la conexión de red o por interfaces web como phpMyAdmin) y SQL injection podrían utilizarse como vectores de explotación."

Hasta el momento, Oracle (que adquirió la compañía de software que desarrolla MySQL en 2010) aún tiene que liberar una actualización para esta y otras cuestiones. Golunski informó a Oracle y otros proveedores afectados a finales de julio, Percona y MariaDB han liberado actualizaciones que solucionan la vulnerabilidad CVE-2016 a 6662.

A medida que estos nuevos lanzamientos fueron acompañados por detalles de la vulnerabilidad y la próxima actualización crítica de parches de Oracle está programada para el 18 de octubre de 2016, Golunski ha decidido comenzar a revelar las vulnerabilidades que encontró, de manera que los usuarios puedan hacer todo lo posible para minimizar el riesgo hasta que los parches se ponen a disposición.

El asesor también dispone un PoC limitada del exploit. En breve será publicado un exploit funcional con los detalles de CVE-2.016-6663.

"A medida de mitigación temporal, los usuarios deben asegurarse de que no existan archivos de configuración de MySQL donde el dueño sea el usuario mysql, y crear archivos my.cnfi3 ficticios donde el dueño sea el usuario root y que esos archivos no esten en uso," Golunski aconsejó, pero hizo hincapié en aplicar los parches oficiales de los proveedores en cuanto se encuentren disponibles, ya que será la solución definitiva para este problema.