MySQL，MariaDB和PerconaDB数据库中发现条件竞争漏洞，CVE-2016-6663-5616
影响版本
MariaDB
< 5.5.52
< 10.1.18
< 10.0.28
MySQL
<= 5.5.51
<= 5.6.32
<= 5.7.14
Percona Server
< 5.5.51-38.2
< 5.6.32-78-1
< 5.7.14-8
Percona XtraDB Cluster
< 5.6.32-25.17
< 5.7.14-26.17
< 5.5.41-37.0
漏洞介绍
MySQl,MariaDB 和 PerconaDB 数据库存在条件竞争漏洞，该漏洞允许本地用户使用低权限(CREATE/INSERT/SELECT权限)账号提升权限到数据库系统用户（通常是'mysql'）执行任意代码。成功利用此漏洞，允许攻击者完全访问数据库。也有潜在风险通过(CVE-2016-6662和 CVE-2016-6664漏洞)获取操作系统root权限。
修复方法
临时方案：
修改配置文件 /etc/my.cnf ，添加：
symbolic-links = 0可能会出现未知问题。
最终方案：
更新至最新版本
其他方案：
使用 RDS 产品
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
面对MySQL、MariaDB和PerconaDB数据库中存在的条件竞争漏洞，以及您提到的CVE-2016-6662和CVE-2016-6664漏洞，确实需要采取措施来确保数据库的安全。使用阿里云的RDS（关系型数据库服务）产品是解决此类安全问题的一个有效方案，原因如下：
-
自动补丁和更新：阿里云RDS会自动为底层数据库引擎安装最新的安全补丁，包括针对已知漏洞的修复，如您提到的这些漏洞。这意味着您无需手动干预或担心遗漏重要更新。
-
安全管理：阿里云RDS提供了丰富的安全管理功能，包括访问控制、安全组配置、审计日志等，帮助您进一步加强数据库的安全防护。
-
高可用性：RDS服务设计了多种高可用架构，比如主备切换、多可用区部署等，确保即使在面临安全威胁或其他故障时，数据库服务也能持续稳定运行。
-
数据备份与恢复：定期自动备份以及灵活的数据恢复选项，可以在遭受攻击后迅速恢复数据，减少损失。
-
专业运维支持：阿里云的专业团队负责RDS实例的日常运维，包括性能监控、故障排查等，让您更专注于业务发展，而非基础架构的维护。
如果您考虑迁移到阿里云RDS，可以按照以下步骤操作：
-
评估需求：确定所需的数据库引擎（MySQL、MariaDB或Percona）、存储空间、计算能力等。
-
选择实例类型：根据业务规模和预算，选择适合的RDS实例规格，阿里云提供了多种配置以满足不同需求。
-
迁移数据：利用阿里云提供的数据迁移工具（如Data Transmission Service, DTS）或自行导出导入数据至新的RDS实例。
-
配置安全与网络：设置访问白名单、安全组规则，确保只有授权的IP可以访问数据库。
-
监控与优化：利用阿里云的监控服务监控数据库性能，并根据实际情况进行参数调整和优化。
通过采用阿里云RDS，您可以有效避免上述漏洞带来的风险，同时享受到云数据库带来的便捷与高效。
