Sicherheitslücke in MySQL-Datenbank

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory veröffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. Benutzerpasswörter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zei

2003-09-15 00:00:00 2003-09-15 00:00:00 admin

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory verÃ¶ffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. BenutzerpasswÃ¶rter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zeichenkette in einem Datenbankfeld gespeichert. Ein Benutzer mit administrativem Zugriff auf die Datenbank und Rechten zum Anlegen und LÃ¶schen von Benutzer und Tabellen, kann ein Passwortfeld manipulieren und mit lÃ¤ngeren Zeichenketten einen Buffer Overflow in der Funktion acl_init() provozieren. Die Zeichenkette muss dabei ein Vielfaches von acht sein. Ein Angreifer kann damit beliebigen Code auf dem Stack platzieren und im Kontext der Datenbank ausfÃ¼hren. In der Regel lÃ¤uft die Datenbank als User mysql, in seltenen FÃ¤llen aber auch als root. Mehrere Exploits kursieren bereits in den entsprechenden Foren. Bedroht sind unter anderem sogenannte LAMP-Server, die auf Linux, Apache, MySQL und Perl oder PHP basieren und fÃ¼r verschiedenste Zwecke von Web-Hostern kostengÃ¼nstig angeboten werden.

Betroffen sind die MySQL-Versionen bis einschlieÃlich 4.0.14, sowie bis einschlieÃlich 3.23.57 auf allen Plattformen. Die Datenbank-Entwickler haben eine korrigierte Version 4.0.15 zum Download bereit gestellt. Ein Patch fÃ¼r Version 4.0.14 ist ebenfalls verfÃ¼gbar. Auch die Linux-Distributoren haben reagiert und ihre Pakete aktualisiert.

heise.de

Author

admin
Administrator

View profile of admin

Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!

`Ratings`

There are no comments available yet.

Here you can write a comment

Microsoft - Internet Explorer 6.0 kommt ab Mittwoch

Nach bisher unbestätigten Gerüchten will Microsoft ab Mittwoch den Internet Explorer 6.0 in einer "Public Preview"-Version zum Download bereitstellen. ...

Autor : admin
Category: Software & Web-Development

CKeditor 3.0 (FCKeditor) erschienen

WYSIWYG-HTML-Editor FCKeditor 3.0,jetzt schneller und barrierefrei zum HTMLText. ...

Autor : admin
Category: Miscellaneous

phpBB-Schwachstelle auch in anderen PHP-Forensysteme gefunden

Die Forensysteme Omegaboard, Cerulean Portal System, phpBB Tweaked, Hailboards, EclipseBB und Xero Portal haben die Schachstellen phpbb_root_path aus phpBB praktisch geerbt. Teilweise haben die Coder der Foren reagiert und Exploits veröffentlicht. ...

Autor : admin
Category: Software & Web-Development

'Oops, we did it again' Monty warnt vor MySQL 5.1

Die für den produktiven Einsatz freigegebene Version enthalte noch immer Fehler, die zum Absturz führen so MySQL-Gründer Michael "Monty" Widenius. Derzeit gebe es 20 bekannte Bugs, die zu Abstürzen und falschen Resultaten führen, 180 andere ernsthafte ...

Autor : admin
Category: Software & Web-Development

PHP Code Camp

Die Entwickler Akademie präsentiert vom 3. bis 6. März 2008 in München das PHP Code Camp. Erleben Sie ein Trainingskonzept, das Ihnen tiefgehend und in besonders innovativer Form vermittelt, wie Sie PHP-Anwendungen professionell entwickeln können. Der Fok ...

Autor : admin
Category: Software & Web-Development

Veranstaltungsankündigung für 22.02.2007

Am Donnerstag, 22.02.2007, findet in der Lehmanns Fachbuchhandlung in Berlin-Charlottenburg ein Vortrag und eine Buchvorstellung des Bestseller-Autorenteams Matthias Kannengiesser und Caroline Kannengiesser zum Thema Durchstarten mit "Objektorientierter P ...

Autor : admin
Category: Software & Web-Development

Magazin & Tutorials