流行的数据库管理系统（DBMS）Oracle MySQL 中发现了被称为“The Riddle”的编码漏洞，该漏洞允许攻击者利用MiTM（man-in-the-middle，中间人）来窃取用户的用户名和密码等登录凭证。用户请立即更新到5.7版本。
MiTM 攻击（Man-in-the-MiddleAttack）是一种“间接”的入侵攻击，这种攻击模式是通过各种技术手段将受入侵者控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间，这台计算机就称为“中间人”。例如SMB会话劫持、DNS欺骗等攻击都是典型的MITM攻击。
Riddle漏洞是Oracle MySQL 5.5和5.6客户端数据库中发现的关键安全漏洞。该漏洞允许攻击者使用‘中间人攻击’来破坏MySQL客户端和服务器之间的SSL配置连接。这个漏洞是一个非常关键的安全漏洞，因为它影响到MySQL（一个非常流行的SQL数据库，SSL连接由其定义安全。）
该漏洞编号为“CVE-2017-3305”，可以潜在地将用户登录凭证暴露给攻击者，当MySQL客户端5.5和5.6将这些用户凭证信息发送到服务器时，攻击者就能够顺利捕获它们。
针对5.5.49和5.6.30版本发布的安全更新无法完全解决这一安全漏洞。5.7及更高版本以及MariaDB系统不受该安全问题的影响。
根据安全研究人员 Pali Rohár 所言，他们曾经尝试利用影响MySQL数据库的BACKRONYM漏洞的修补方式来修复Riddle漏洞，但是结果失败了。Backronym漏洞也同Riddle漏洞一样，允许攻击者运行中间人攻击来窃取用户登录凭证，即使流量已经被加密也无法阻止。
MySQL 5.5.49以及5.6.30 稳定版的安全更新包括在验证过程完成后添加安全参数的验证。因为验证完成后，攻击者可以使用中间人攻击与 SSL 降级攻击来窃取用户的登录数据，以便立即进行身份验证并登录 MySQL 服务器，可笑的部分是，MySQL 客户端不会在MySQL服务器拒绝验证用户时报告任何与 SSL 问题相关的错误，而是报告服务器发送的未加密的错误信息。此外，当中间人攻击处于活跃状态时，错误信息可以由攻击者控制。
安全专家建议用户尽快将客户端软件更新到MySQL 5.7 或 MariaDB，因为这些应用程序的安全更新正在正常运行，未受该安全漏洞影响。需要注意的是，这个漏洞虽然早在今年2月份就已经发现了，但是目前仍然在影响Oracle MySql软件。
如果你不是Oracle 用户，那么你对他们报告安全漏洞是无用的（即使确实是与安全相关的漏洞）。他们可以完全无视这些安全报告，甚至希望任何人都不要知道这些报告和漏洞的存在，所以至此他们都没有对漏洞进行修复。所以，立即向用户公开披露这些安全漏洞看来是最有效的解决方案，因为这样可以让用户知道一旦受影响应该做什么，有效的保护用户数据安全。
试用、下载、了解更多产品信息请点击"咨询在线客服"
Install-Package MailBee.NET
主题切换选项用于渲染和可视化所有可用的JavaScript主题中的组件。
C#: Smtp mailer = new Smtp(); SmtpServer server = new SmtpServer("smtp.company.com", "jdoe", "secret"); mailer.SmtpServers.Add(server); ... mailer.Send(); |
VB.NET: Dim mailer As New Smtp() Dim server As New SmtpServer("smtp.company.com","jdoe","secret") mailer.SmtpServers.Add(server) ... mailer.Send() |
C#: Smtp mailer = new Smtp(); SmtpServer server = new SmtpServer("mail.domain.com", "user@domain.com", "pass"); mailer.SmtpServers.Add(server); mailer.Connect(); mailer.Hello(); mailer.Login(); |
VB.NET: Dim mailer As New Smtp() Dim server As New SmtpServer("mail.domain.com", "user@domain.com", "pass") mailer.SmtpServers.Add(server) mailer.Connect() mailer.Hello() mailer.Login() |
C#: Smtp mailer = new Smtp(); SmtpServer server = new SmtpServer("smtp.company.com", "jdoe", "secret"); server.AuthMethods = AuthenticationMethods.SaslLogin | AuthenticationMethods.SaslPlain | AuthenticationMethods.SaslNtlm; server.AuthOptions = AuthenticationOptions.PreferSimpleMethods; mailer.SmtpServers.Add(server); ... mailer.Send(); |
VB.NET: Dim mailer As New Smtp() Dim server As New SmtpServer("smtp.company.com","jdoe","secret") server.AuthMethods = AuthenticationMethods.SaslLogin _ Or AuthenticationMethods.SaslPlain Or AuthenticationMethods.SaslNtlm server.AuthOptions = AuthenticationOptions.PreferSimpleMethods mailer.SmtpServers.Add(server) ... mailer.Send() |
C#: Smtp mailer = new Smtp(); mailer.SmtpServers.Add("mail.domain.com", "jdoe@domain.com", "secret").AuthPopBeforeSmtp = true; ... mailer.Send(); |
VB.NET: Dim mailer As New Smtp() mailer.SmtpServers.Add("mail.domain.com", "jdoe@domain.com", "secret").AuthPopBeforeSmtp = True ... mailer.Send() |
C#: Smtp mailer = new Smtp(); mailer.SmtpServers.Add("smtp.domain.com"); mailer.AuthPopBeforeSmtp("pop.domain.com", 110, "jdoe@domain.com", "secret"); ... mailer.Send(); |
VB.NET: Dim mailer As New Smtp() mailer.SmtpServers.Add("smtp.domain.com") mailer.AuthPopBeforeSmtp("pop.domain.com", 110, "jdoe@domain.com", "secret") ... mailer.Send() |
C#: Smtp mailer = new Smtp(); mailer.SmtpServers.Add("smtp.domain.com", null, null, AuthenticationMethods.SaslNtlm); |
VB.NET: Dim mailer As New Smtp() mailer.SmtpServers.Add("smtp.domain.com", Nothing, Nothing, AuthenticationMethods.SaslNtlm) |
【慧都十四周年庆预热开启！全场满额送七级豪礼，AppleMac笔记本电脑、iwatch、iPad等您来拿！】
活动时间：10月1日-10月31日
| C#: oMailer.Message.Attachments.Add(@"C:\Temp\report.doc"); oMailer.Message.Attachments.Add(@"C:\Temp\john_doe_photo.jpg", "pic2.jpg","<12s4a8a8932r$5664i1t1$iy671661@yljfmkqjghxu>", "image/gif", null, NewAttachmentOptions.Inline, MailTransferEncoding.Base64); |
| VB.NET: oMailer.Message.Attachments.Add("C:\Temp\report.doc") oMailer.Message.Attachments.Add("C:\Temp\prices_2005.xls", "prs2005.xls") oMailer.Message.Attachments.Add("C:\Temp\my_photo.jpg", "pic1.jpg","<12s4a8a8778c$5664i1b1$ir671781@tlffmdqjobxj>") oMailer.Message.Attachments.Add("C:\Temp\john_doe_photo.jpg", "pic2.jpg", "<12s4a8a8932r$5664i1t1$iy671661@yljfmkqjghxu>", "image/gif", Nothing, NewAttachmentOptions.Inline, MailTransferEncoding.Base64) |
很多企业都选择使用开源软件（OSS）构建更加灵活的产品，但其中也存在潜在的风险，软件供应商和IoT制造商都有必要去了解一下隐藏在软件供应链中的风险。
例如，犯罪分子就完全可以利用Apache Struts CVE-2017-5638漏洞来获取Equifax客户的个人资料。众所周知，Apache Struts是一种广泛使用的开源组件 – Web服务器的框架，它可以用于接收和提供公司内部系统中的商业数据。归根到底，还是因为这个开源组件所存在的漏洞以致于使其成为网络攻击的主要目标。
根据Flexera的一份最新报告显示，在商业和IoT软件产品中所发现的代码有百分之五十都是与开源软件有关的。但调查显示只有37％的受访者表示曾获取并使用开源软件。而63％的公司说，他们并没有获取或使用开源软件，或者说他们根本就不知道有这种情况的存在。
并且据了解，目前基本没有人对开源软件的安全性负责：39％的受访者表示，在他们公司内部没有人会对开源软件的安全性负责，或者可以说他们压根就不知道应该是由谁来负责。
除此之外，开源软件的贡献者也不是遵循最佳实践：33％的受访者表示自己的公司曾为开源项目做出了贡献。但是，又有63％的受访者表示他们的公司压根并没有开源采购或使用政策，当然也有43％的受访者表示自己本身对开源项目也有做出贡献。
不管怎样，我们都不能忽视开源确实是一个明显的捷径。 Flexera产品管理副总裁Jeff Luszcz表示：“完全开源可获取的代码可以快速获得产品，这对于软件开发的快速节奏来说非常重要。” “然而，大多数软件工程师并没有在私下里去跟踪开源的使用情况，而且有绝大部分的软件高管都没有意识到其安全/合规风险方面存在一定差距。”
事实上，对于开源软件使用过程中的安全合规、许可等流程可能远比简单的拿来用要方便的多，但这些流程毫无疑问是必不可少的。
“开源软件的安全合规流程能够很好的保护产品和品牌声誉。但大多数软件和IoT厂商都没有意识到存在的问题，所以他们并没有保护自己和户，”Luszcz说，“对于暴露产品合规性和漏洞风险的供应商，还有那些压根就不知道他们运行开放源代码和其他第三方软件的客户，甚至可能是包含软件漏洞的客户 ，这些都是会危及到整个软件供应链。”
2017慧都十四周年狂欢搞事情！砸金蛋100%抽现金红包、满额豪送iPhone X、iPhone 8、DevExpress汉化免费送、团队升级培训套包劲省10万元......更多惊喜等您来探索！
沪公网安备31011202009668号 | 沪ICP备13020027号-2
