Der Sicherheitsexperte David Golunski will einige kritische Schwachstellen in MySQL entdeckt haben, die über Injections das Ausführen von Code und die Rechteausweitung ermöglichen. Seine Meldung an Oracle blieb bislang ungehört.
Der Experte David Golunski hat sich, nachdem auf seine Meldung 40 Tage lang keine Reaktion seitens Oracle erfolgte entschlossen, die Sicherheitslücken zu veröffentlichen. Betroffen sind laut Golunski die Datenbankversionen MySQL 5.7.17 und früher. Auch die MySQL-Klone MariaDB und PerconaDB weisen die Schwachstellen auf. MariaDB und PerconaDB haben die kritischen Lücken allerdings gefixt.
Laut der Beschreibung von Golunski handelt es sich um zwei Zero-Day-Lücken, die das Ausführen von Code aus der Ferne erlauben und auch die Ausweitung der Rechte. Die Lücken seien auch ausnutzbar, wenn die Sicherheitsmodule SELinux und AppArmor installiert seien. Golunski hält die Lücken (CVE-2016-6662) für sehr kritisch und beschreibt einen möglichen Exploit als Proof-of-Concept.
