با استفاده از آسیب‌پذیری‌‌هایی که در پایگاه‌داده‌ی MySQL کشف و به صورت عمومی نیز منتشر شده است، Attackerها می‌توانند برخی سرورها را به طور کامل در معرض تهدید قرار دهند.
Dawid Golunski، به عنوانی یکی از محققانی که موفق به کشف این آسیب‌پذیری شده است، اظهار داشت: تمامی سرورهای MySQL با پیکربندی پیش‌فرض، در کلیه نسخه‌ها (5.7، 5.6 و 5.5) حتی نسخه‌های جدید نیز تحت تاثیر این آسیب‌پذیری قرار گرفته‌اند؛ علاوه بر آن پایگا‌ه‌های داده مبتنی بر MySQL که شامل MariaDB و PerconaDB نیز مشمول این آسیب‌پذیری شده‌اند.
این نقص تحت عنوان CVE-2016-6662 شناخته شده و برای ایجاد تغییر در فایل پیکربندی MySQL بنام my.cnf، قابل Exploit می‌باشد؛ شروع فرآیند پردازش MySQL به همراه یک Wrapper Script در حالت Mysqld_Safe، می‌تواند باعث اجرای یک کتابخانه تحت کنترل مهاجمین با دسترسی Root گردد.
فرآیند Exploit زمانی اجرا می‌شود که مهاجمین، دارای یک Connection مجاز و مورد تایید (Authenticated Connection) به سرویس MySQL باشند؛ این شرایط در محیط‌هایی که دارای Hosting مشترک بوده و یا به واسطه ی استفاده از SQL Injection می‌توانند ایجاد شود.
Golunski، این آسیب‌پذیری را برای توسعه‌دهندگان هر سه سرور پایگاه‌داده که در معرض آسیب قرار داشتند، گزارش نمود، اما تنها دیتابیس‌های MariaDB و PerconaDB تا کنون Patchهای مربوطه را دریافت نموده‌اند. اوراکل به عنوان توسعه‌دهنده‌ی MySQL، طی ماه گذشته از وجود این نقص مطلع گردیده اما هنوز در جهت رفع آن اقدامی نکرده است.
به روزرسانی‌های امنیتی توسط شرکت اوراکل بر اساس یک برنامه زمانی سه ماهه عرضه می‌گردد که طبق آن، نسخه بعدی در ماه جاری میلادی (اکتبر) ارائه می‌گردد. به هرحال، از آنجاییکه Patchهای مربوط به MariaDB و PerconaDB از اواخر آگوست به صورت عمومی در دسترس قرار گرفته است محققان، اطلاعاتی را در رابطه با این آسیب‌پذیری منتشر کرده‌اند. بنابراین مدیران SQL می‌توانند اقداماتی را در زمینه محافظت از سرورهای خود انجام دهند.
در گزارشات منتشر شده، اطلاعات محدودی در رابطه با مفهوم این Exploit ارائه شده و برخی بخش‌ها جهت جلوگیری از استفاده نامناسب از آن اطلاعات در سطوح گسترده، عنوان نشده است. در ضمن محققان درباره‌ی آسیب‌پذیری دیگری در اوراکل تحت عنوان CVE-2016-6663 گزارشاتی را ارائه نموده‌اند که قادر است فرآیند حمله را ساده‌تر نماید؛ البته هنوز جزییات بیشتری در رابطه با این آسیب‌پذیری در دست نمی‌باشد.
افشای آسیب‌پذیری CVE-2016-6662 با برخی انتقادات در مباحثات تخصصی روبرو شده است؛ برخی کاربران این آسیب‌پذیری را از نوع Privilege Escalation به حساب می‌آورند و اعتقاد دارند که این آسیب‌پذیری بر خلاف مطالب بیان شده توانایی اجرای کد‌ها به صورت Remote را ندارد، زیرا Attacker به برخی از دسترسی‌ها بر روی پایگاه داده نیاز خواهند داشت.
Golunski در ادامه اظهارات خود افزود: با کاهش موقتی این مشکل، کاربران باید تضمین نمایند که هیچ فایل پیکربندی مربوط به MySQL در اختیار آنها قرار نداشته باشد و فایل‌‌های My.Cnf خود را با مالکیت Root ایجاد نمایند؛ در عین حال توجه به این نکته نیز حائز اهمیت می‌باشد که این فایل‌‌ها در حال استفاده نباشند. این راهکارها به هیچ وجه کامل نبوده و کاربران باید به محض در دسترس قرار گرفتن Patchهای رسمی از آنها استفاده نمایند.
نکته قابل توجه در رابطه با این آسیب‌پذیری، عدم ارائه توضیحات مناسب به درخواست‌های کاربران توسط Oracle می‌باشد.
