Sicherheitslücke in MySQL-Datenbank

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory veröffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. Benutzerpasswörter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zei

2003-09-15 00:00:00 2003-09-15 00:00:00 admin

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory verÃ¶ffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. BenutzerpasswÃ¶rter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zeichenkette in einem Datenbankfeld gespeichert. Ein Benutzer mit administrativem Zugriff auf die Datenbank und Rechten zum Anlegen und LÃ¶schen von Benutzer und Tabellen, kann ein Passwortfeld manipulieren und mit lÃ¤ngeren Zeichenketten einen Buffer Overflow in der Funktion acl_init() provozieren. Die Zeichenkette muss dabei ein Vielfaches von acht sein. Ein Angreifer kann damit beliebigen Code auf dem Stack platzieren und im Kontext der Datenbank ausfÃ¼hren. In der Regel lÃ¤uft die Datenbank als User mysql, in seltenen FÃ¤llen aber auch als root. Mehrere Exploits kursieren bereits in den entsprechenden Foren. Bedroht sind unter anderem sogenannte LAMP-Server, die auf Linux, Apache, MySQL und Perl oder PHP basieren und fÃ¼r verschiedenste Zwecke von Web-Hostern kostengÃ¼nstig angeboten werden.

Betroffen sind die MySQL-Versionen bis einschlieÃlich 4.0.14, sowie bis einschlieÃlich 3.23.57 auf allen Plattformen. Die Datenbank-Entwickler haben eine korrigierte Version 4.0.15 zum Download bereit gestellt. Ein Patch fÃ¼r Version 4.0.14 ist ebenfalls verfÃ¼gbar. Auch die Linux-Distributoren haben reagiert und ihre Pakete aktualisiert.

heise.de

Author

admin
Administrator

Profil von admin anzeigen

Sage Danke!
Du findest den Beitrag gut und möchtest Dich beim Autor bedanken? Schicke ihm einen Betrag Deiner Wahl.
Danke sagen!

`Erfahrungen`

Es sind noch keine Kommentare vorhanden.

Hier Kannst Du einen Kommentar verfassen

Neue Version des SSH-Clients PuTTY verfügbar

Der beliebte freie SSH-Client für Windows PuTTY steht in der Version 0.58 zum Download bereit, ebenso die als Sourcecode verfügbare Unix-Portierung. SSH besteht aus einer ganzen Kombination von Protokollen, die kryptographisch abgesicherte Kommunikation i ...

Autor : admin
Kategorie: Software & Web-Development

PHP5.3.6 erschienen, PHP5.2 eingestampft

Das PHP-Entwicklerteam stellt die Version 5.3.6 zur Verfügung und beendet den Support des 5.2-Zweiges. ...

Autor : AmicaNoctis
Kategorie: Software & Web-Development

Endlich offiziell: Service Pack 2 für Windows

Das schon seit Tagen zum Download bereitliegende Service Pack 2 für Windows 2000 hat Microsoft jetzt offiziell freigegeben. --> Morpheus ...

Autor : admin
Kategorie: Software & Web-Development

Internetnutzung in den USA erreichte im Oktober neuen Rekord

Laut dem Oktober Internet Ratings Report 2001 von Nielsen NetRatings hat die Internetnutzung in den USA im Oktober um 4 Prozent zugenommen und mit 115,2 Millionen Nutzern ihren Höchststand in diesem Jahr erreicht. ...

Autor : admin
Kategorie: Software & Web-Development

Schüler wird verdächtigt, den Sasser-Wurm programmiert zu haben

Wie das Landeskriminalamt in Hannover heute Morgen mitteilte, wurde gestern der mutmaßliche Programmierer des Internet-Wurms Sasser festgenommen. Es handele sich um einen 18-jährigen Schüler aus Rotenburg (Wümme) in Niedersachsen, der Rahmen eines Verfahr ...

Autor : admin
Kategorie: Software & Web-Development

EMS PostgreSQL Manager 3.0™ veröffentlich.

EMS Company ist froh, den PostgreSQL Manager 3.0 für Windows – mit der neuen Hauptversion der starken PostgreSQL Verwaltung und des Entwicklungswerkzeugs bekannt zu geben! Sie können den PostgreSQL Manager 3.0 für Windows hier runterladen: http://www.sql ...

Autor : admin
Kategorie: Software & Web-Development

Magazin & Tutorials