Sicherheitslücke in MySQL-Datenbank

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory veröffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. Benutzerpasswörter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zei

2003-09-15 00:00:00 2003-09-15 00:00:00 admin

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory verÃ¶ffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. BenutzerpasswÃ¶rter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zeichenkette in einem Datenbankfeld gespeichert. Ein Benutzer mit administrativem Zugriff auf die Datenbank und Rechten zum Anlegen und LÃ¶schen von Benutzer und Tabellen, kann ein Passwortfeld manipulieren und mit lÃ¤ngeren Zeichenketten einen Buffer Overflow in der Funktion acl_init() provozieren. Die Zeichenkette muss dabei ein Vielfaches von acht sein. Ein Angreifer kann damit beliebigen Code auf dem Stack platzieren und im Kontext der Datenbank ausfÃ¼hren. In der Regel lÃ¤uft die Datenbank als User mysql, in seltenen FÃ¤llen aber auch als root. Mehrere Exploits kursieren bereits in den entsprechenden Foren. Bedroht sind unter anderem sogenannte LAMP-Server, die auf Linux, Apache, MySQL und Perl oder PHP basieren und fÃ¼r verschiedenste Zwecke von Web-Hostern kostengÃ¼nstig angeboten werden.

Betroffen sind die MySQL-Versionen bis einschlieÃlich 4.0.14, sowie bis einschlieÃlich 3.23.57 auf allen Plattformen. Die Datenbank-Entwickler haben eine korrigierte Version 4.0.15 zum Download bereit gestellt. Ein Patch fÃ¼r Version 4.0.14 ist ebenfalls verfÃ¼gbar. Auch die Linux-Distributoren haben reagiert und ihre Pakete aktualisiert.

heise.de

Author

admin
Administrator

View profile of admin

Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!

`Ratings`

There are no comments available yet.

Here you can write a comment

Angriffe auf Webserver mit unsicheren PHP-Skripten

Das DFN-CERT und weitere deutsche CERTs (Computer Emergency Response Teams) registrieren nach eigenen Angaben zurzeit massive Angriffe auf Webserver mit unsicheren PHP-Skripten. In diese Skripte lässt sich weiterer Skript-Code einschleusen, der beispielsw ...

Autor : admin
Category: Software & Web-Development

the PHP resource auf one-2-one.net

Seit heute läuft unsere Seite auf einem one-2-one.net Server. Bei der Umstellung wurden folgende Änderungen vorgenommen. - von php3 auf php4 - wechsle der Server (von Puretec.de zu one-2-one.net) - Verbessertes Top25 Script - Integration der Dmoz.o ...

Autor : admin
Category: Software & Web-Development

Kundengewinnung und Kundenbindung

Vertrieb läuft doch immer persönlich. Das funktioniert nicht mit dem Internet! Wirklich? ...

Autor : admin
Category: Miscellaneous

Kostenlos: In zwei Minuten Flipbook erstellen

In deinem PDF blättern, statt scrollen? Kurze Ladezeiten, statt ewigem Download? Dazu noch Videos einbinden und dein PDF interaktiv werden lassen? ...

Autor : admin
Category: Software & Web-Development

Arbeit an Linux Kernel 2.5 kurz vor dem Beginn

Alan Cox zieht sich teilweise aus der Kernelentwicklung zurück Eine Ankündigung von Alan Cox, neben Linus Torvalds der zweite Mann bei der Linux-Kernel-Entwicklung, sorgte am Wochenende für Diskussionsstoff in der Linux-Community. Denn Cox, der de ...

Autor : admin
Category: Software & Web-Development

PEAR Installer des PHP-Projekts ist in der Version 1.4.0 erschienen

Die Software erlaubt es, PHP-Bibliotheken und -Erweiterungen auf leichte Art und Weise zu installieren. Die neue Version legt aber zugleich die Basis für eine einfache Verteilung von PHP-Applikationen, die nun in einem Schritt installiert und weitgehend a ...

Autor : admin
Category: Software & Web-Development

Magazin & Tutorials