資安研究人員Dawid Golunski周二（11/1）揭露了兩個攸關MySQL開放源碼資料庫的安全漏洞，將允許駭客取得系統最高權限，同時也殃及了基於MySQL的MariaDB與PerconaDB。

相關的漏洞編號分別為CVE-2016-6664與CVE-2016-5617，前者屬重大風險漏洞，後者則是高度（High）風險漏洞，都屬權限擴張漏洞，皆影響MySQL 5.5.51、MySQL 5.6.32及MySQL 5.7.14及之前的版本，以及基於這些版本的MariaDB與PerconaDB。

其中的CVE-2016-6664漏洞允許已存取資料庫的本地端系統使用者擴大權限，成為資料庫系統使用者，藉以存取伺服器上的所有資料庫，若再輔以CVE-2016-5617或其他的權限擴張漏洞，還可進一步成為根系統使用者，等於全面入侵了伺服器。

Golunski已打造出同時開採CVE-2016-6664與CVE-2016-5617的概念性攻擊程式，讓駭客即刻間取得系統最高權限，該程式還可搭配CVE-2016-6663或CVE-2016-5616等漏洞使用。

目前包括MySQL與PerconaDB都已修補上述兩個漏洞，MariaDB則計畫在下一次更新中修補。

文章來源: http://www.ithome.com.tw/news/109383

圖片來源: https://pixabay.com/

日前MySQL的孿生兄弟MariaDB於3月31日發布全新版本10，從這版本開始與MySQL的發展分道揚鑣，MariaDB 10走出自己的道路，此次大幅度的更新，增加對大資料的支援，甚至與Fusion-io策略聯盟，與前一個版本相比，MariaDB 10在效能以及功能上都有長足的進步。 

Michael Widenius（網路代號：Monty）同為MySQL與MariaDB的創辦人，2008年他以10億美元的代價將MySQL出售給昇陽，兩年後甲骨文併購昇陽，MySQL經二度轉手。在甲骨文的經營下，原本主張開源的MySQL轉趨封閉，由於Michael Widenius對此策略不認同，因而分支出與MySQL 5.5完全相容的MariaDB 5.5。

而後SKySQL 和MariaDB的原開發公司Monty Program Ab合併，重新集結開創MySQL的元老，共同開發MariaDB 10，從5.5直接跳躍到10的版本號變化也反映了，MariaDB擺脫過去舊包袱以全新的面貌進軍市場的企圖。

MariaDB 10為大資料布局

MariaDB 10主要增加了3項新特色，第一、新增高效複製功能。由於MariaDB 10可以平行複製資料以及更先進的集體提交功能（Group Commit），根據MariaDB官網，新版效能將是前版本的數倍，而也因為平行複製的功能，使用者可以即時查詢來自許多大型資料表所組合的資料表。

第二、增加原生NoSQL支援。新版增加了Connect 引擎來做外部資料管理。Connect引擎的用途就像橋一樣，可動態存取非結構性檔案或是支援ODBC的資料庫，甚至還可以直接存取Cassandra這類型NoSQL資料庫系統，並與其他大資料技術介接，除此之外，也支援常見的NoSQL資料欄位導向技術。

第三、內建分片（Sharding）功能，MariaDB 10的Spider 引擎，可以將大型資料庫的表格分割儲存到不同的伺服器上，提升對分散式架構的支援，日後只要增加伺服器，便可增加資料庫容量。

MariaDB 10與Fusion-io合作提升資料庫效能

另外，MariaDB也與Fusion-io公司形成策略聯盟，發布支援Fusion-io儲存設備的MariaDB版本，由於Fusion-io推出NVM壓縮技術，克服快閃記憶體的先天存取限制，不會因為修改已壓縮的資料，而造成複雜的邏輯運算，突破資料在硬體讀寫時的速度瓶頸，同時也能延長快閃記憶體使用的壽命。

MariaDB為Fusion-io特製的版本，可以善加利用NVM壓縮技術，根據官網表示，此舉大幅降低寫入次數，使的資料庫的效能得以提升。

不少支持開源的廠商放棄MySQL，轉向使用MariaDB 

由於甲骨文對MySQL程式發展的不積極作為，以及開源策略漸趨封閉下，不少原本使用MySQL的企業，害怕遭受甲骨文箝制，再加上MariaDB排除了過去大家對MySQL可擴展性的疑慮，紛紛轉而使用MariaDB。

目前WikiMedia 基金會、openSUSE、Fedora、Google、WordPress等知名網路服務商，均公開表示已從MySQL轉而使用MariaDB。

MySQL跟進與硬體廠商合作的趨勢

甲骨文近期也釋出開放源碼的最新關聯性資料庫版本MySQL 5.7.4 DMR（Development Milestone Release），強調為了符合現代雲端與嵌入應用的需求，大幅改善了MySQL的效能、擴展性與可靠性，在標竿測試中其查詢速度是MySQL 5.6的兩倍、MySQL 5.5的3倍。

另外甲骨文也同樣能支援Fusion-io儲存產品的FVM壓縮技術來加速資料庫存取效能。 

在效能與擴展性上，MySQL 5.7.4針對固態硬碟強化了效能與吞吐量，改善InnoDB緩衝區與元資料鎖定，強化其半同步的複製效能，其每秒查詢速度是5.6版的2倍，5.5版的3倍。在管理功能上，帶來更精確的成本計算，改善效能架構，並有符合AES標準的256bit加密及新的密碼管理選項。

降低其他資料庫轉換到MySQL的成本

此外，為了確保高可得性並管理多個MySQL伺服器的MySQL Fabric具備了故障自動偵測及轉移功能；可供圖形化管理的MySQL Workbench 6.1新增效能評估與最佳化查詢功能，亦可讓用戶輕易自微軟的SQL Server移轉至MySQL，並宣稱可節省最高90%的整體擁有成本。

MySQL工程副總裁Tomas Ulin表示，MySQL 5.7帶來效能與管理功能的改善，為了鼓勵社群的參與，並遵循儘早釋出的宗旨，甲骨文縮短從意見回饋到交付的周期，讓使用者能更快存取強化的產品功能及品質。文⊙李建興、陳曉莉

<BOX>什麼是NoSQL資料庫

Web2.0概念的成熟發展促成了NoSQL資料庫的興起。過去幾年使用者網路行為的改變，挑戰了關聯式資料庫的效能和彈性，因應爆量讀寫頻繁的需求，NoSQL的概念重新被提出，NoSQL資料庫的特色是不使用SQL當作查詢語言、動態列儲存及分散式架構等。

關聯式資料庫的操作具有ACID的特性，第一、不可分割性（Atomicity），在一次的交易（Transaction），操作必須全部成功，一旦發生錯誤，所有資料更動將回復到交易之前，不容許有中間狀態，第二、一致性（Consistency），所有的交易，都必須遵守資料庫設定規則，第三、獨立性 （Isolation）資料交易進行中，不受其他交易影響，第四、持久性（Durability），交易成功後，所做的任何變更都會被永久保存。這些特性在金融交易很重要，可以確保其過程安全及結果的可靠性，而過去的靜態網頁的資料庫操作，讀取比例遠高於寫入，在關聯式資料庫也是沒有問題的。

但近年盛行的網路服務，如社群網站、社群遊戲甚至是網路遊戲，龐大的使用者規模以及頻繁互動的操作模式，關聯式資料庫的可靠性無用武之地，反而成為效能瓶頸。

以社群網站Facebook為例，全球十幾億用戶，所有的使用操作都會被寫入資料庫中，包括塗鴉牆上編輯訊息、即時訊息對話、任意的連結點擊和對應用程式的喜好等，Facebook每月要處裡幾百億筆巨量的資料，如果使用關聯性資料庫，ACID的規則將會嚴重的影響資料庫效能，以至於降低使用者操作經驗。此外，NoSQL資料庫的分散式架構，有助於紀錄被有策略的複製到世界各地的資料中心，以縮短全球使用者存取Facebook資料的時間。

NoSQL資料庫因其分散式架構，容量容易擴充，但資料更新可能會有不同步的狀況，對此NoSQL資料庫採用資料遲早會一致（Eventually Consistency）的做法，不同資料庫伺服器，或許資料會因時間差而不同，但終究會同步。

關聯式資料庫必須遵守ACID的特性，NoSQL資料庫應用上更具彈性，兩類型資料庫系統沒有優劣之分，只有需求考量不同。

文章來源:http://www.ithome.com.tw/news/86622

圖片來源:https://pixabay.com/

日前，Google捨MySQL朝MariaDB轉移的意圖，終於進入明朗化階段。在今年超大型資料庫（XLDB）會議中，Google網站可靠度部門（SRE，Site Reliability Engineer）的資深系統工程師，同時也負責Google內部MySQL資料庫的Jeremy Cole揭露了Google大規模汰換MySQL的計畫。

他在XLDB會議的演講中表示，Google正計畫淘汰內部數千臺MySQL資料庫，改換用另一個開源資料庫MariaDB，目前也有部分資料庫已改用MariaDB最新的10.0版。

日前，MariaDB基金會成員之一的SkySQL執行長Patrik Sallner也向國外媒體透露，Google在2013年初就開始與MariaDB基金會接洽，希望能在轉換過程中，降低資料庫遷徙的負擔與風險。

甲骨文MySQL封閉色彩逐漸濃厚

MariaDB是從MySQL獨立出來的另一套衍生資料庫（Folk版本），而且都來自相同的創始人Michael Widenius（代號Monty）和其他創始人在1994年開始開發MySQL，2008年將MySQL賣給了昇陽電腦，傳為開源軟體商業化的經典案例。

2年後，MySQL更推出大受歡迎的5.5版，但甲骨文卻收購了昇陽電腦。MySQL二度易主，MySQL社群擔心甲骨文箝制而紛紛出走，Michael Widenius因而推出了與MySQL相容的MariaDB，而MySQL原有高層則成立了SkySQL公司，廣納舊版MySQL的開發工程師，來與甲骨文主導的MySQL分庭抗禮，目前，MySQL最被廣泛使用的是2010年的5.5版，2013年推出的5.6版還未普及。

Google早在MySQL 4.0版時就開始採用。Google離職員工Benjy Weinberger在Quora網站上透露，在Google開發出BigTable檔案系統前，很多服務都使用MySQL。直到2010年，Google的賺錢金雞母Google Ads廣告服務，還大量使用MySQL叢集。直到現在，Jeremy Cole在演講中透露，Google仍有許多MySQL資料庫，其版本橫跨了古老的4.0版，到較新的MySQL 5.1版。

不過，他在這場演講中並未進一步提及Google資料庫遷徙的詳情，而是用個人身分從技術角度出發，分享Google的MySQL資料庫使用經驗。但從他對MySQL的評價中，也能一窺Google用MariaDB取代MySQL背後的考量。

首先，Jeremy Cole認為，MySQL的優點是，簡易查詢的效率較高，對於一個簡易查詢的要求，通常能以小於500微秒（μs）的時間回應，此外，MySQL也有一個相對穩定的資料儲存層InnoDB，最後，MySQL的安裝與操作都相對容易，同時也有許多網路上的學習資源可供利用。

但MySQL的缺點是不擅長應付圖形資料（Graph Data），而且大量執行ID generation功能時效率慢，他認為，主導MySQL的甲骨文著重於追加一些華麗的新功能，而忽視了MySQL的穩定性與整體效率。綜觀以上特性，他認為，MySQL適合用管理小於1.5TB的資料，或者作為大量資料的後端備份系統。

此外，Jeremy Cole認為，甲骨文主導下的MySQL，在正式釋出可用版，對外揭露的資訊不足，十分缺乏透明度，而且，甲骨文較少修正來自使用者回報的臭蟲、也不常聽取開發社群的討論、意見與對新功能的需求，雖然MySQL是開放源碼的資料庫，但他認為，甲骨文的作為，讓MySQL的封閉性色彩逐漸濃厚。

而MariaDB雖然MySQL是同源所生的程式碼，但運作的理念卻有很大的不同。Jeremy Cole表示，MariaDB是由Michael Widenius領導，並囊括了許多最初開發MySQL的開發人員，創立目的就是為了擺脫甲骨文的控制。它採用了新的儲存引擎，並以相容於甲骨文的MySQL 5.5版本為出發點，目前的MariaDB 10.0版，就是建立在MySQL 5.6版本的完全複製版本（Fork）之上。

痞客邦研發副理林瑞男也表示，甲骨文在2010主導了MySQL之後，有逐漸將原始碼封閉的傾向，因此，開源碼社群以MySQL為基礎另起爐灶，發展出了MariaDB的分支，希望維持開放源碼的特性。

林瑞男認為以甲骨文對MySQL的封閉態度，加上MariaDB和MySQL到目前為止其資料格式可以互通，導致許多企業都有將資料庫系統轉換的打算，例如，維基百科早已將資料庫從MySQL換成MariaDB、而Linux作業系統Red Hat、SUSE也採用了MariaDB作為其網站資料庫，種種跡象越來越顯示出甲骨文主導的MySQL勢力已經開始動搖了。

MySQL創始人：MySQL轉移至MariaDB逐漸成潮流

而MySQL的創始人Michael Widenius也以電子郵件回覆，信中分析了Google捨棄MySQL而改用MariaDB的原因，究其原因，可以個別從甲骨文 MySQL的推力和MariaDB的拉力兩個方面來談。

首先，甲骨文 MySQL並不支援外部的更新（Patch）機制，甲骨文並未保證未來MySQL程式碼的開放性，此外，MySQL對於越來越多新的程式碼，也不再提供測試環境，他認為，這樣的封閉性，將讓甲骨文之外的開發者，幾乎完全無法在甲骨文的MySQL上撰寫新的功能。

反觀，採用MariaDB的企業能夠直接與開源碼社群的開發者討論，計畫開發新功能，另一方面，MariaDB也永久保證了其開放源碼的特性，他說，對於Google而言，最重要的是MariaDB提供了許多業務上的關鍵的功能，例如全域交易辨識碼（Global Transaction ID）、平行複製（Parallel Replication）、多來源複製（Multi Source Replication）、以及集體上傳（Group Commit）等功能。

此外，Michael Widenius也認為，Google在其核心資料庫管理系統上，是想要企圖擺脫甲骨文的控制，他表示，目前已經有越來越多的企業企圖從MySQL轉換成MariaDB，MariaDB將成為未來資料庫的主流。

而由於MariaDB與MySQL是位元相容的（Binary Compatible），其資料格式也都可互通，而所有與MySQL相關的工具、應用程式與連接器（Connector），都可以直接在MariaDB上使用，Michael Widenius表示，這代表著MySQL的使用者可以輕易的將系統轉移至MariaDB。

超過一半的SkySQL客戶從MySQL轉至MariaDB

此外，他也表示，MariaDB在因應複雜的查詢上，效率高過MySQL，而在複製設定（Replication Setup）上的速度，MariaDB也比MySQL高出許多。他認為，這個轉換已經明顯形成未來的趨勢，SkySQL公司提供超過400家的企業資料庫的支援服務，其中包括維基百科等，超過200家的企業都已經從MySQL轉移至MariaDB，他對於企業捨棄甲骨文主導下的MySQL而朝更開放的資料庫管理系統邁進的趨勢，抱持著十分確定的態度。

林瑞男則表示，痞客邦當初之所以選擇MySQL，在於其支援資源豐富，容易找到參考資料與顧問，此外，目前MySQL使用的企業也較多，意味著使用、維護上的問題大多可以找到解答。

然而，目前痞客邦的資料庫，也已非甲骨文下的MySQL，而是Percona所提供的MySQL分支版本，痞客邦會於此版本中繼續維護、開發。林瑞男也表示，視MariaDB的發展情況，未來痞客邦也有可能將資料庫管理系統遷移至MariaDB。文⊙楊智傑

文章來源:http://www.ithome.com.tw/node/82854

圖片來源:https://pixabay.com