Kritische Sicherheitslücke in PostgreSQL geschlossen

Für die beliebte Open-Source-Datenbank PostgreSQL gibt wurde gerade ein wichtiges Sicherheitsupdate veröffentlicht, das eine Rechte-Lücke schließt. Details zu der Sicherheitslücke Potentielle Angreifer könnten Systeme mit dem freien Datenbank-Managementsystem PostgreSQL attackieren und sich damit höhere Nutzerrechte verschaffen. Ein Sicherheitspatch dagegen steht jetzt zum Download bereit. Die Sicherheitslücke (CVE-2021-38140) gilt als "kritisch". In der Warnmeldung dazu geben die Entwickler an, die Schwachstelle im set_user-Extension-Modul 2.0.1 jetzt geschlossen zu haben. Um sich über die Schwachstelle höhere Rechte zu verschaffen, mussten Angreifer über den Aufruf der set_user()-Funktion einen Reset-Session-Authorization-Zustand auslösen, was durch das Update nun blockiert sein soll. Details zur Absicherung von PostgreSQL Wie solche Angriffe genau ablaufen könnten, ist aktuell aus verständlichen Gründen noch nicht beschrieben worden. Wegen der kritischen Einstufung der Rechte-Lücke sollten verantwortliche Admins in PostgreSQL-Installationen auf ihren Homepages zeitnah das Update einspielen. Wie man das genau macht, kann man auf Github nachlesen.

2021-08-31T10:28:49+02:00August 31st, 2021|MySQL, Sicherheit|Kommentare deaktiviert für Kritische Sicherheitslücke in PostgreSQL geschlossen
Weiterlesen

Datenbank MongoDB 5.0 veröffentlicht

Bei seiner alljährlichen Konferenz MongoDB.live hat MongoDB Inc., , die Version 5.0 der gleichnamigen dokumentorientierten NoSQL-Datenbank und weitere Neuerungen im Bereich des Multi-Cloud-DBaaS-Dienstes (Database as a Service) MongoDB Atlas vorgestellt. MongoDB 5.0 mit versionierter API, nativen Zeitreihen und Live-Resharding Die Entwickler dürften sich besonders über die versionierte API, die nativen Zeitreihen und die Funktion Live-Resharding freuen. Alle Datenbankfeatures stehen ihnen außerdem in Zukunft auch im Rahmen einer Preview von MongoDB Atlas in Serverless-Instanzen zur Verfügung. DB-Updates ohne große Änderungen des Anwendungscodes Normalerweise ist das Application Lifecycle Management (ALM) eng mit dem Verwalten der Datenbank verknüpft. Mit der neuen versionierten API gibt MongoDB 5.0 den Entwicklern die Möglichkeit, beides voneinander zu entkoppeln. In Zukunft lassen sich dadurch Datenbank-Upgrades durchführen, ohne größere Änderungen für den Anwendungscode befürchten zu müssen. Zu dem Zweck definiert die versionierte API eine Zusammenstellung häufig verwendeter Befehle und Parameter, die auch bei Major Releases der DB unverändert bleiben. Idealerweise muss der Code einer Anwendung deshalb über Jahre hinweg nicht mehran neue MongoDB-Versionen angepasst werden.

2021-07-13T16:59:23+02:00Juli 13th, 2021|Coding, MySQL, Webwerkzeuge|Kommentare deaktiviert für Datenbank MongoDB 5.0 veröffentlicht
Weiterlesen

Updates beseitigen Sicherheitslücken in IBMs Datenbank DB2

Das IBM-Datenbanksystem Db2 ist verwundbar, und böswillige Angreifer könnten Systeme attackieren und zum Beispielk unberechtigt auf Daten zugreifen oder Dateien überschreiben. Deshalb sind jetzt wichtige Sicherheitsupdates für IBM Db2 erschienen: Die dagegen abgesicherten Versionen schaffen Abhilfe. Unter anderem sind die Db2-Versionen V9.7, V10.1, V10.5, V11.1 und V11.5 auf den Systemen AIX, HP-UX, Linux, Solaris und Windows von den Problemen betroffen. Select-Statements legen DB2 lahm Als am gefährlichsten gilt dabei die mit dem Bedrohungsgrad „hoch“ eingestufte Sicherheitslücke mit der Kennung CVE-2021-29703. Darüber könnte ein Angreifer Datenbankserver durch simples Ausführen von präparierten SELECT-Statements lahmlegen. Wenn Angreifer erfolgreich an den anderen Schwachstellen ansetzen, könnte ein authentifizierter Angreifer über die Lücke CVE-2021-4945 mit Bedrohungsgrad „mittel“ Dateien überschreiben. Auch ein unberechtigter Zugriff auf die Db2-Konfiguration istüber die Lücke CVE-2021-4885 mit Bedrohungsgrad „mittel“ vorstellbar. Das erfolgreiche Ausnutzen der weiteren Lücke CVE-2021-20579 mit Bedrohungsgrad „mittel“) könnte zur Offenlegung von Informationen führen, und die letzte der aktuellen Schwachstelle CVE-2021-29777 mit Bedrohungsgrad „mittel“ könnte den Weg zu einer DoS-Attacke bereiten.

2021-06-27T22:52:40+02:00Juni 27th, 2021|MySQL, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Updates beseitigen Sicherheitslücken in IBMs Datenbank DB2
Weiterlesen

Angriffe über Update-Check vom IBM-Datenbank DB2

Wer das Datenbanksystem DB2 von IBM nutzt, sollte jetzt handeln, denn Angreifer könnten die Datenbank attackieren, um eigenen Code auszuführen. Um dem vorzubeugen, müssen die DB-Admins eine Einstellung ändern. Der Udate-Check des IBM-Datenbanksystems Db2 weist einen Fehler auf, durch den Angreifer Schadcode auf dem Rechner laufen lassen könnten. Zur Absicherung der Systeme gegen Versuche dieser Art brauchen die Admins in diesem Fall kein Sicherheitsupdate installieren. Es reicht völlig, einen einzelnen Prozess zu deaktivieren. Die betroffenen Windows-Versionen von DB2 Es wird zwar in der Warnmeldung nicht eindeutig formuliert, aber anscheinend sind ausschließlich die Windows-Versionen V9.7, V10.1, V10.5, V11.1 und V11.5 von Db2 von dem Problem betroffen. Dabei könnten lokale Angreifer in einem nicht näher beschriebenen Angriffsszenario Schadcode ausführen und dem System vorher präparierte DLL-Bibliotheken unterjubeln. Die Lücke mit der Kennung CVE-2021-4588 ist mit dem Bedrohungsgrad "hoch" versehen. Wie man ein System absichert Um solche Systeme abzusichern, müssen die Admins den für die Attacke anfälligen Prozess agent.exe deaktivieren. Das macht man über die Kommandozeile unter C:\ProgramData\FLEXnet\Connect\11 mit dem Befehl agent.exe \unregister. IBM hat allerdings keine Angaben dazu gemacht, ob nzw. inwieweit der Upate-Check danach auch noch funktioniert.

2021-05-27T18:02:10+02:00Mai 27th, 2021|Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Angriffe über Update-Check vom IBM-Datenbank DB2
Weiterlesen

MariaDB mit Schnittstelle für Reaktive Programmierung

Die relationale Open-Source-Datenbank MariaDB hat jetzt eine Anbindung für Reactive Relational Database Connectivity (R2DBC) bekommen. Der neue Connector soll die reaktive Programmierung unterstützen und könnte deshalb besonders für Java-Entwickler interessant sein. Die Spezifikation der neuen reaktiven Schnittstelle R2DBC soll seinen Vorgänger JDBC (Java Database Connectivity) ablösen und hilft laut MariaDB Corporation beim Erstellen skalierbarer Java Virtual Machines (JVM), die jetzt mit einem Streaming-Ansatz zur Interaktion mit der relationalen Datenbank genutzt werden können. Die neue Spezifikation "Reactive Relational Database Connectivity" lässt laut Blogankündigung reaktives beziehungsweise nicht-blockierendes Verhalten durch die Verwendung asynchroner Datenströme zu. Das soll sich dadurch positiv auf die Ressourcennutzung auswirken, dass es unter anderem den Datendurchsatz erhöht, erläutert der für die Entwicklung dieser Spezifikation zuständige Mark Paluch. Das spielt besonders beim Echtzeit-Streaming eine Rolle, und damit öffnet sich MariaDB laut Blogeintrag für neue Anwendungen in diesem Bereich. Im Developer Hub gibt es Codebeispiele dazu Sowohl Codebeispiele als auch Ressourcen zu dem neuen R2DBC-Connector und auch zu weiteren Schnittstellen für verschiedene Programmiersprachen finden Sie in dem neu eingerichteten Developer Hub von MariaDB. Die MariaDB Corporation positioniert die Open-Source-Datenbank damit auch als Alternative zu proprietären Datenbanken für den Unternehmenseinsatz und baut dabei auf modulare Speicher-Engines zur Beherrschung von schwankenden Arbeitslasten. Weitergehende Informationen zu dem neuen Connector und zur reaktivem Programmierung [...]

2021-01-08T18:48:57+02:00Januar 8th, 2021|Allgemein, Coding, Javascript, MySQL, Webwerkzeuge|Kommentare deaktiviert für MariaDB mit Schnittstelle für Reaktive Programmierung
Weiterlesen

Edge bringt vertikale Tabs und Passwortschutz

Soeben hat Microsoft einige neue Funktionen für den Edge-Browser auf Basis von Chromium vorgestellt. In Zukunft kann der Microsoft-Browser offene Tabs in einer vertikal untereinander angeordneten Liste zeigen, statt sie oberhalb der Adresszeile aufzureihen. Ein Menü für vertikalen Tabs Das Menü zu den Tabs lässt sich über einen Button an der linken oberen Ecke des Edge-Fensters ausklappen. Dort lassen sich die Tabs dann auch umschalten, schließen oder in der Reihenfolge ändern. Die Benutzer können dabei auch mehrere Tabs in der Liste zusammen auswählen und dann auch als Gruppe verschieben. Dabei bleibt die normale Tab-Ansicht oberhalb der Adress-Zeile weiterhin parallel erhalten. Browser inklusive Paßwortschutz Ganz neu ist auch eine Sicherheitsfunktion, mit der gespeicherte Passwörter vor Diebstahl geschützt werden sollen: Password Monitor untersucht im Browser gespeicherte Kombinationen aus Nutzernamen und Passwörtern und gleicht sie dabei mit einer Datenbank mit Informationen aus dem Dark Web ab – zum Beispiel frei zugänglichen Passworttabellen von zwischenzeitlich kompromittierten Internetseiten. Wird ein Match gefunden, dann weist der Browser den Benutzer darauf hin, dass die Zugangsdaten eventuellen Angreifern bekannt sein könnten und rät zu einem Wechsel des Passworts. Password Monitor soll zunächst erst einmal als Preview-Version starten. Screenshot: Microsoft

2020-03-31T19:14:04+02:00März 31st, 2020|Browser, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Edge bringt vertikale Tabs und Passwortschutz
Weiterlesen

Critical Patch Update bei Oracle

Bei seinem Quartalsupdate "Critical Patch Update" hat der Datenbank-Hersteller Oracle insgesamt 319 Patches für zahlreiche der Produktfamilien veröffentlicht. Eine große Zahl der damit geschlossenen Sicherheitslücken wurden als kritischeingeordnet. Mehrere dieser Sicherheitslücken könnten aus der Ferne missbraucht werden, um die verwundbaren Systeme zu übernehmen, weshalb Oracle seinen Kunden dazu rät, die im Rahmen des Critical Patch Updates bereitgestellten Patches umgehend einzuspielen. Details zu den geschlossenen Sicherheitslücken Weitergehende Details zu den betroffenen Produkten, geschlossenen Lücken und verfügbaren Updates kann man Oracles Update Advisory entnehmen. Bei der Einschätzung des Sicherheitsrisikos der einzelnen Schwachstellen helfen Oracles Angaben zum CVSS (Common Vulnerability Scoring System): CVSS-v3-Scores ab 7.0 bis einschließlich 8.9 stehen für ein "hohes" Sicherheitsrisiko; Scores von 9.0 bis 10.0 stehen für "critical". Die zusätzliche Angabe "Network" unter "Attack Vector" im Update Advisory sagt aus, dass Angriffe "über das Internet", also aus der Ferne, ausgeführt werden können.

2019-07-17T12:18:02+02:00Juli 17th, 2019|MySQL, Webwerkzeuge|Kommentare deaktiviert für Critical Patch Update bei Oracle
Weiterlesen

NoSQL-Datenbank MongoDB 4.2 angekündigt

Auf der MongoDB World 2019 in New York informiert MongoDB in dieser Woche über die neusten Entwicklungen aus dem eigenen Hause. Die angekündigte Version 4.2 der NoSQL-Datenbank stellt für die Benutzer drei neue Funktionen bereit: verteilte Transaktionen, Platzhalter-Indizes und eine clientseitige feldbasierte Verschlüsselung. Neues in MongoDB 4.2 Schon seit Version 4.0 beherrscht der MongoDB-Server ja ACID-Transaktionen, die über mehrere Replikationssätze gehen. Jetzt geht das sogar auch dann, wenn die Daten auf mehreren Rechnern verteilt gespeichert sind. Datenbankspezialiszten nennen das:Sharding. Die neuen Platzhalter-Indizes geben den Anwendern jetzt mehr Möglichkeiten bei der Organisation ihrer Daten. Das Indizieren lässt sich dabei über eine Filterfunktion realisieren, welche automatisch die entsprechenden Dokumente, Felder und deren Kollektionen findet. Bei der clientseitigen, feldbasierten Verschlüsselung wird das Problem der Sicherheit von Daten während der Bearbeitung angegangen. Dabei findet die Verschlüsselung außerhalb des Entwickler haben Diese Funktion wurde in die Treiber eingebaut, wo die User den Verschlüsselungsalgorithmus und den Verwaltungsdienst für die zugehörigen Schlüssel auch konfigurieren. Zurzeit  werden noch nicht alle existierenden Treiber unterstützt. Spätestens im Sommer 2019 soll das aber der Fall sein. Für die Schlüsselverwaltung steht aktuell zwar zunächst nur der Cloud-Dienst von AWS zur Verfügung, die Google Cloud Platform, Azure und andere Dienste sollen aber bald folgen.

2019-06-19T09:18:47+02:00Juni 19th, 2019|Allgemein, Coding, MySQL, Webwerkzeuge|Kommentare deaktiviert für NoSQL-Datenbank MongoDB 4.2 angekündigt
Weiterlesen

Die Common Table Expressions in MySQL 8.0

Vor zwei Monaten erschien die Version 8.0 der relationalen Datenbank MySQL von Oracle. Zu den fehlenden Eigenschaften, die das Konkurrenzprodukt PostgreSQL schon seit der Version 8.4 aus dem Jahr 2009 beherrscht, gehören die Common Table Expressions (CTEs). Diese Konstrukte in der Datenbank-Abfragesprache SQL gestatten es, komplexe Querys in überschaubare Chunks aufzuteilen, die danach ähnlich den bekannten Views über ihren Namen benutzt werden können, und das anders als bei einfachen Subquerys auch mehrfach. Beispiel für die Nutzung von CTEs In dem kurzen SQL-Listing im Artikelbild sehen Sie, dass die CTEs vor der Haupt-Query zunächst mit WITH definiert werden müssen. In meinem Beispiel werden in der ersten CTE die Online-Verkäufe aus einer imaginären Sales-Tabelle ausgewählt und dann in der zweiten CTE nach Monaten aggregiert. Die Hauptabfrage berechnet den Anteil eines einzelnen Online-Verkaufs am Monatsumsatz. Common Table Expressions reduzieren dabei nicht nur Redundanzen, sondern verringern auch die Fehleranfälligkeit. Wettbewerber MariaDB hat die CTEs schon seit der Version 10.1 implementiert - seit Version 10.2 vom Mai 2017 kann MariaDB das sogar auch rekursiv…

2018-06-29T08:39:05+02:00Juni 29th, 2018|Coding, MySQL, Webwerkzeuge|Kommentare deaktiviert für Die Common Table Expressions in MySQL 8.0
Weiterlesen

SQL Server 2017 auch für Linux

Nur gut ein Jahr nach der Veröffentlichung des Vorgängers hat Microsoft jetzt seinen SQL Server 2017 veröffentlicht. Die interessanteste Neuerung ist dabei die Unterstützung von Linux. Microsofts Unterstützung für das freie Betriebssystem wird immer deutlicher, und nun gehört sich auch der SQL Server zu den portierten Anwendungen. Im Zuge der Portierung haben die Entwickler unerwartet viele Funktionen der Windows-Version übernommen, allerdings fanden nicht alle ins Repertoire von SQL Server 2017. So gibt es beispielsweise das grafische Verwaltungswerkzeug SQL Server Management Studio weiterhin nur für Windows, allerdings verwaltet es auch die Linux-Version der Datenbank. SQL-Server 2017 auch via Docker-Container Außer den Paketen für RHEL, SLES und Ubuntu können Interessenten den aktuellen SQL Server auch via Docker-Container bekommen. Das ist auch für Windows eine Option, bei der der zeitliche Aufwand im Vergleich zur klassischen Installation sich enorm reduziert. Bei der Lizenzierung bleibt sich Microsoft treu, die Ausgaben entsprechen denen der Vorgängerversion und Kunden können nach Belieben zwischen Linux und Microsoft wechseln.

2017-11-28T10:38:17+02:00November 28th, 2017|MySQL, Webwerkzeuge|Kommentare deaktiviert für SQL Server 2017 auch für Linux
Weiterlesen
Nach oben