Sicherheitslücke in MySQL-Datenbank

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory veröffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. Benutzerpasswörter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zei

2003-09-15 00:00:00 2003-09-15 00:00:00 admin

Auf der Sicherheitsmailingliste Full-Disclosure wurde ein Security Advisory verÃ¶ffentlicht, in dem auf einen Fehler im Open-Source-Datenbank-Server MySQL hingewiesen wird. BenutzerpasswÃ¶rter werden als sogenannte Hashes als 16 Byte lange, hexadezimale Zeichenkette in einem Datenbankfeld gespeichert. Ein Benutzer mit administrativem Zugriff auf die Datenbank und Rechten zum Anlegen und LÃ¶schen von Benutzer und Tabellen, kann ein Passwortfeld manipulieren und mit lÃ¤ngeren Zeichenketten einen Buffer Overflow in der Funktion acl_init() provozieren. Die Zeichenkette muss dabei ein Vielfaches von acht sein. Ein Angreifer kann damit beliebigen Code auf dem Stack platzieren und im Kontext der Datenbank ausfÃ¼hren. In der Regel lÃ¤uft die Datenbank als User mysql, in seltenen FÃ¤llen aber auch als root. Mehrere Exploits kursieren bereits in den entsprechenden Foren. Bedroht sind unter anderem sogenannte LAMP-Server, die auf Linux, Apache, MySQL und Perl oder PHP basieren und fÃ¼r verschiedenste Zwecke von Web-Hostern kostengÃ¼nstig angeboten werden.

Betroffen sind die MySQL-Versionen bis einschlieÃlich 4.0.14, sowie bis einschlieÃlich 3.23.57 auf allen Plattformen. Die Datenbank-Entwickler haben eine korrigierte Version 4.0.15 zum Download bereit gestellt. Ein Patch fÃ¼r Version 4.0.14 ist ebenfalls verfÃ¼gbar. Auch die Linux-Distributoren haben reagiert und ihre Pakete aktualisiert.

heise.de

Author

admin
Administrator

View profile of admin

Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!

`Ratings`

There are no comments available yet.

Here you can write a comment

PHP 4.3.4RC2 veröffentlicht

PHP 4.3.4RC2 wurde zum Testen freigegeben. Dieser Release Kandidat sei hoffentlich der letzte Release Kandidat vor dem 4.3.4 Release und sollte sehr stabil sein, so zu lesen auf php.net. Ebenfalls wird um weiteres Testen gebeten, um weitere unentdeckte A ...

Autor : admin
Category: Software & Web-Development

Apple gibt Java-Update für Mac OS X heraus

Apple hat für sein Unix-Betriebssystem Mac OS X die Java-Version 1.4.1 freigegeben. Verbessert worden ist unter anderem die Java-Unterstützung, z.B. bei Java-Applets im Apple-eigenen Webbrowser Safari, aber auch anderen Webbrowsern, die das Java-Plug-i ...

Autor : admin
Category: Software & Web-Development

Java heiratet Skriptsprachen (PHP ...)

Sun arbeitet gemeinsam mit Partnern an einer neuen Spezifikation, die Java mit Skriptsprachen wie PHP verbinden soll. Die auf der Entwicklerkonferenz JavaOne vorgestellte Spezifikation (JSR 223) beschreibt einen Weg, um Java-Objekte leicht aus dynamischen ...

Autor : admin
Category: Software & Web-Development

Neuer Wurm verbreitet sich per ICQ

Kaspersky Labs warnt vor einem neuen Wurm, der sich zur Verbreitung den beliebten Messenger ICQ zunutze macht. Der Antiviren-Spezialist schätzt, dass bereits 50.000 Rechner mit "Bizex" infiziert sind. Anwender erhalten per ICQ eine Nachricht, die sie ...

Autor : admin
Category: Software & Web-Development

TYPO3 4.6 ist da

Mit der Version4.6 des bekannten CMS Typo3 soll eine deutliche Geschwindigkeitssteigerungen einhergehen. Das verspricht zumindest das TYPO3-Entwicklerteam. ...

Autor : admin
Category: Miscellaneous

PHP 5.2.7 mit schwerwiegendem Fehler

Letzte Woche wurde die PHP Version 5.2.7 veröffentlicht. Leider haben die Entwickler einen schwerwiegenden Fehler in den Einstellungen für magic_quotes_gpc übersehen. Die PHP Version 5.2.7 musste deswegen zurückgezogen werden. Bis zur Veröffentlichung ...

Autor : admin
Category: Software & Web-Development

Magazin & Tutorials