MySQL - tragikomiczna luka dająca dostęp do roota

Sergei Golubchik, koordynator projektu MariaDB, odkrył bardzo poważny błąd bezpieczeństwa w bazie danych MySQL. Polega on na ominięciu autoryzacji i uzyskaniu bardzo łatwego dostępu do bazy da...

[jaceks]

ahaha i niech mi ktos powie ze debian to zly system ;)

flame war on ! ;)

[robert-kosekowski]

@jaceks: przypadkiem bo mają jakiegoś starocia co nik nie używa :P :P

[ads]

RedHatowe (w tym najpopularniejszy na serwerach CentOS) są bezpieczne. W zasadzie każdy serwer powinien być bezpieczny. Żaden normalny admin nie wystawia portu bazy na świat.

[robert-kosekowski]

Podsumowując, twórcy MySQL się nie popisali. Błąd polega na nieprawidłowym castingu zwracanej wartości przez memcmp. Normalnie funkcja zwraca wartości 0, 1 lub -1, ale jest to ogólnie niezdefiniowane zachowanie, nie należy przyjmować, że tak musi być. Jest powiedziane, że funkcja zwraca 0 gdy ciągi są identyczne, liczbę dodatnią gdy ciąg pierwszy jest większy od drugiego i ujemną w przeciwnym wypadku. Liczenie, że będzie tam jakaś konkretna wartość w jakiś przedziale to wróżenie

[ollbi]

Luka naprawdę banalna, ciekawe kiedy tylko zostanie naprawiona :)

[robert-kosekowski]

@ollbi: lukę poprawił dwa miesiące temu Oracle :P Paczkujący się opieprzają i tyle :D

[Soren]

Ale i tak open source nie ma bocznych drzwiczek ;)

[ihwar]

mssql ftw!

[ihwar]

@ihwar:

no i za co te minusy? pracuje na tym silniku od dawna i jest na prawdę dobry

[trb]

Jaka baza takie luki...

[mack23]

@trb: jak można porównywać sqlite do mysql? to tak jakby porównywać wiatrówkę i czołg

[JestemKaspi]

@bandersnatch:

@trb:

Po wprowadzeniu obsługi unicode do serwera IIS została odkryta jedna z poważniejszych luk oprogramowania serwerowego

[robert-kosekowski]

@bandersnatch: ale luka jest załatana od 2 miesięcy. Widać jak umiesz czytać. Aaa zapomniałem. W gimnazjum teraz nie uczą czytać.

[g.....n]

@bandersnatch: pieprzysz od rzeczy mały. Luki były, są i będą bo nikt nie jest idealny. Komentujesz jak by komercyjne oprogramowanie było wolne od wad gdzie wcale nie jest lepiej. A nawet gorzej.

Fakt że luka deczko nieciekawa. Tyle dobrego że narażeni są tylko ci którzy wystawili swoją bazę danych na zewnątrz.