IBM schließt Sicherheitslücken in Informix-Datenbank

Zusammenfassung

IBM veröffentlichte im August 2006 Updates für mehrere Lücken im Informix Dynamic Server, die NGSSoftware bereits im Januar 2005 gemeldet hatte. Über Funktionen wie LOTOFILE und SET DEBUG FILE ließen sich beliebige Dateien schreiben, dazu kamen zahlreiche Pufferüberläufe in SQL-Funktionen und auf Protokollebene. Ursache der Protokollfehler war unter anderem die C-Funktion getname(), die Zeichenketten wie strcpy() ungeprüft kopiert.

Ideen

• Datenbankfunktionen mit Dateizugriff werden zum Angriffsweg auf das Betriebssystem.
• Ungeprüfte Kopierfunktionen im Stil von strcpy() verursachen Pufferüberläufe.
• Zwischen Meldung und Patch lagen über anderthalb Jahre.

Einsichten

• Lange Reaktionszeiten von Herstellern lassen Kunden unwissentlich ungeschützt.
• Datenbankserver brauchen Härtung wie jedes andere Netzwerk-Serverprogramm.

Fakten

• NGSSoftware hatte die Fehler im Januar 2005 an IBM gemeldet.
• Betroffen waren unter anderem SET DEBUG FILE, IFX_FILE_TO_FILE, FILETOCLOB, LOTOFILE und DBINFO.

Referenzen

• hß: IBM schließt Sicherheitslücken in Informix-Datenbank

Kritik

• Die Meldung kritisiert die lange Reaktionszeit, nennt aber keine Workarounds für die Wartezeit.

Empfehlungen

• Erlaube Datenbankfunktionen mit Dateizugriff nur privilegierten Konten.
• Mache Datenbankserver nicht aus unsicheren Netzen erreichbar.

Originalartikel lesen →

Im Webarchiv suchen

Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.