Вышла СУБД Firebird 3.0.2 с устранением опасной уязвимости26.03.2017 22:44

Доступен корректирующий релиз реляционной СУБД Firebird 3.0.2, продолжающей развитие кода БД InterBase 6.0, открытого в 2000 году компанией Borland. Firebird распространяется под свободной лицензией MPL и поддерживает стандарты ANSI SQL, в том числе такие возможности, как триггеры и хранимые процедуры.

Кроме устранения ошибок и улучшений, в Firebird 3.0.2 устранена уязвимость, которая позволяет аутентифицированному пользователю повысить свои привилегии и выполнить код с правами рабочего процесса СУБД через манипуляции с UDF-функциями (User Defined Function), независимо от содержимого настройки 'UdfAccess = Restrict UDF'. Пользуясь тем, что fbudf.so динамически связывается с libc, эксплуатация сводится к выполнению следующих команд:

      DECLARE EXTERNAL FUNCTION EXEC cstring(4096), integer RETURNS integer BY VALUE ENTRY_POINT 'system' MODULE_NAME 'fbudf' ;      select first 1 EXEC('touch /tmp/proof') from some_table;   

Из улучшений в Firebird 3.0.2 можно отметить портирование для платформы Android и устаревших систем на базе CPU Motorola 68000, возможность использования выражения SELECT в качестве параметра оператора BETWEEN, обеспечение сборки на платформе Linux с опцией »--enable-binreloc», существенное увеличение производительности транзакций только на чтение, поддержка вложенных ключей в конфигурации плагинов.

© OpenNet