近半数内部部署数据库含有高危漏洞

微软Exchange服务器攻击潮揭示了各种风险，但修复过程未必总是那么直观。

一份时间跨度为五年的研究给使用内部部署服务器的企业敲响了警钟：近半数企业的内部部署服务器含有可供利用的漏洞。 

9月14日，网络安全公司Imperva发布研究报告，分析了约2.7万个数据库及其安全状态。扫描检查结果显示，全球46%的内部部署数据库含有已知漏洞。 

每个数据库平均含有26个安全漏洞，其中56%是“高”或“危”漏洞，例如可用于劫持整个数据库及其所含信息的代码执行漏洞。 

某些情况下，只需要用Shodan扫描一下，挑个目标来执行恶意攻击载荷就能拿下。 

Imperva表示：“结果表明，很多企业并没有重视其数据安全，忽视了日常修复工作。基于Imperva的扫描检查，一些CVE在三年或更长时间里仍未得到解决。”

法国的数据库安全状况最为糟糕，所扫描数据库中84%都包含至少一个漏洞，每数据库平均含有的漏洞数量为72个。 

澳大利亚的数据库安全状况仅比法国略好一点儿，所扫描数据库中65%包含至少一个漏洞（平均每个数据库含有20个漏洞），紧随其后的是新加坡（64%包含至少一个漏洞，每数据库平均安全漏洞数量为62个），然后是英国（61%包含至少一个漏洞，每数据库平均安全漏洞数量为37个），接着是中国（52%包含至少一个漏洞，每数据库平均安全问题数量为74）。总的说来，美国37%的数据库含有至少一个已知漏洞，每数据库平均含有25个漏洞。 

微软Exchange服务器黑客事件已经凸显出内部部署服务器及其拥有者忽视安全的严重后果了。今年3月，微软发布紧急补丁修复四个零日漏洞（统称为ProxyLogon），但漏洞利用程序一经开发和释出，仍有成千上万的企业被黑。 

近期其他数据库安全新闻中，影响Cosmos DB的一个关键漏洞于今年8月披露。云安全公司WIZ将此漏洞描述为“可轻易利用”，能够“使任意Azure用户未授权获取其他客户Cosmos DB实例的完整管理员权限（读取、写入、删除）。”