|
MySQL Connector/NET缺少SSL证书验证漏洞
发布日期：2009-06-17
更新日期：2009-06-30
受影响系统：MySQL AB MySQL Connector/Net 6.0
MySQL AB MySQL Connector/Net 5.0 不受影响系统：MySQL AB MySQL Connector/Net 6.0.4 描述：
BUGTRAQ ID: 35514
MySQL Connector/Net是MySQL数据库的ADO.NET驱动。
MySQL Connector/Net在使用加密的时候没有对服务器的证书执行验证。在NativeDriver.cs文件中，StartSSL函数依赖于名为NoServerCheckValidation的验证函数，而该函数没有执行任何验证。此外还有另一个名为ServerCheckValidation的函数，而该函数被标注掉。
能够对连接执行中间人攻击的攻击者可以通过利用这个漏洞绕过加密验证，从而破坏SSL所提供的安全性。
<*来源：Wes Henderson
链接：http://secunia.com/advisories/35604/
http://bugs.mysql.com/bug.php?id=38700
*>
建议：
厂商补丁：
MySQL AB
--------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
http://lists.mysql.com/commits/76218
浏览次数：469
严重程度：0（网友投票）
|
本安全漏洞由绿盟科技翻译整理，版权所有，未经许可，不得转载
绿盟科技给您安全的保障 |
