MySQL Connector/NET加密时 缺少SSL证书验证漏洞

来源:岁月联盟 编辑:zhuzhu 时间:2009-07-03
MySQL Connector/NET加密时 缺少SSL证书验证漏洞 受影响系统:
MySQL AB MySQL Connector/Net 6.0
MySQL AB MySQL Connector/Net 5.0

不受影响系统:
MySQL AB MySQL Connector/Net 6.0.4

描述:
MySQL Connector/Net是MySQL数据库的ADO.NET驱动。

MySQL Connector/Net在使用加密的时候没有对服务器的证书执行验证。在NativeDriver.cs文件中,StartSSL函数依赖于名为NoServerCheckValidation的验证函数,而该函数没有执行任何验证。此外还有另一个名为ServerCheckValidation的函数,而该函数被标注掉。

能够对连接执行中间人安全的安全者可以通过利用这个漏洞绕过加密验证,从而破坏SSL所提供的安全性。

厂商补丁:

目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
http://lists.mysql.com/commits/76218