Sicherheitslücke in MySQL-Datenbank

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory veröffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. Benutzerpasswörter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zei

2003-09-15 00:00:00 2003-09-15 00:00:00 admin

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory verÃ¶ffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. BenutzerpasswÃ¶rter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zeichenkette in einem Datenbankfeld gespeichert. Ein Benutzer mit administrativem Zugriff auf die Datenbank und Rechten zum Anlegen und LÃ¶schen von Benutzer und Tabellen, kann ein Passwortfeld manipulieren und mit lÃ¤ngeren Zeichenketten einen Buffer Overflow in der Funktion acl_init() provozieren. Die Zeichenkette muss dabei ein Vielfaches von acht sein. Ein Angreifer kann damit beliebigen Code auf dem Stack platzieren und im Kontext der Datenbank ausfÃ¼hren. In der Regel lÃ¤uft die Datenbank als User mysql, in seltenen FÃ¤llen aber auch als root. Mehrere Exploits kursieren bereits in den entsprechenden Foren. Bedroht sind unter anderem sogenannte LAMP-Server, die auf Linux, Apache, MySQL und Perl oder PHP basieren und fÃ¼r verschiedenste Zwecke von Web-Hostern kostengÃ¼nstig angeboten werden.

Betroffen sind die MySQL-Versionen bis einschlieÃlich 4.0.14, sowie bis einschlieÃlich 3.23.57 auf allen Plattformen. Die Datenbank-Entwickler haben eine korrigierte Version 4.0.15 zum Download bereit gestellt. Ein Patch fÃ¼r Version 4.0.14 ist ebenfalls verfÃ¼gbar. Auch die Linux-Distributoren haben reagiert und ihre Pakete aktualisiert.

heise.de

Author

admin
Administrator

View profile of admin

Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!

`Ratings`

There are no comments available yet.

Here you can write a comment

phpCMS Version 1.2.1pl2 veröffentlicht

31. Mai 2005. Das phpCMS Team hat heute die Version 1.2.1pl2 des OpenSource Content Management Systems phpCMS veröffentlicht, die eine in allen phpCMS Versionen seit 1.2.0 enthaltene Sicherheitslücke schließt. Anwender der phpCMS Versionen vor 1.2.1pl2 ...

Autor : admin
Category: Software & Web-Development

Navicat MySQL GUI for Windows (ver. 7.2.9) supports HTTP Tunneling

Navicat MySQL Manager for Windows (ver. 7.2.9) is now available. This version supports HTTP Tunneling, includes minor bug fixes and improvements on Import/Export and schedule backup features. Navicat features an intuitive interface and provides a set o ...

Autor : admin
Category: Software & Web-Development

What's new in PHP 8.2.10

PHP 8.2.10 is one of the latest versions of PHP, which brings a number of improvements and new features. In this article we will discuss some of the outstanding new features and improvements in this version. ...

Autor : admin
Category: Software-Updates

Darf's ein bisschen kleiner sein ? PHP "zipped" HTML

Das Team um Zeev Suraski und Andi Gutmans hat jetzt ein weiteres kleines Update zu PHP 4 veröffentlicht, das nun auch eine transparente Kompression der HTML-Ausgaben erlaubt. Damit lässt sich das an Clients übertragene Datenvolumen verringern. ...

Autor : admin
Category: Software & Web-Development

Umstrittene Technik: Geheim - Codes auf vielen Webseiten verraten User

Eine neue Technik namens 'Web bugs' (die AOL schon verwendet), die vor allem von Werbefirmen im Internet genutzt werden wird, ist sehr umstritten. 'web bugs' sind Tags die in die HTML- Struktur einer Webseite implementiert sind. Alleine das Aufrufen ...

Autor : admin
Category: Software & Web-Development

JPEG-Patent durch Yahoo lizenziert

Wieder hat sich ein Unternehmen gefunden, das das so genannte JPEG-Patent von Forgent lizenziert hat. Der Halter des Patents 4,698,672 teilt mit, der Internetdienstleister Yahoo habe ein Lizenzabkommen unterzeichnet. Damit erübrigten sich weitere rechtlic ...

Autor : admin
Category: Software & Web-Development

Magazin & Tutorials