在2012年6月13日，MySQL官方發(fā)布了一份嚴(yán)重漏洞警告，指出了MySQL 5.5之前的版本中存在一個(gè)重大的安全漏洞。
該漏洞可以允許未經(jīng)身份驗(yàn)證就進(jìn)行連接和完全控制。在攻擊者成功利用該漏洞之后，他們可以輕松地獲取到系統(tǒng)重要數(shù)據(jù)、敏感信息和敏感文件。
這個(gè)漏洞是由于MySQL服務(wù)器的“GRANT”和“REVOKE”語(yǔ)句的處理方式不正常導(dǎo)致的。攻擊者可以利用這個(gè)漏洞，要么偽造“GRANT”或“REVOKE”命令或者通過(guò)特殊的字符序列變?cè)煺Z(yǔ)法，以獲取到管理員權(quán)限。
GRANT ALL PRIVILEGES ON *.* TO 'user'@'host' IDENTIFIED BY 'password';解決這個(gè)問(wèn)題的最佳方法是升級(jí)到MySQL 5.5.25或者更高版本。接下來(lái)，管理員應(yīng)該通過(guò)以下步驟來(lái)徹底修復(fù)問(wèn)題：
- 立即更改MySQL管理員的所有密碼。
- 在MySQL服務(wù)器上運(yùn)行一次全面的安全審計(jì)，以確保漏洞沒(méi)有被利用來(lái)盜取數(shù)據(jù)或干擾系統(tǒng)的運(yùn)行。
- 確保所有授權(quán)語(yǔ)句都嚴(yán)格符合語(yǔ)法規(guī)則，不要對(duì)任何未知的請(qǐng)求授予任何權(quán)限。