LINUX.ORG.RU

Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

0

0

MySQL версий 4.X/5.X (InnoDB) подвержен удаленной атаке, которая в 100% случаев приводит к аварийному завершению процесса mysqld со всеми вытекающими последствиями: DDoS, data corruption и т.д.

Для этого достаточно иметь валидный аккаунт в СУБД, создать определенную таблицу и сделать определенный запрос (подробности по ссылке). Проблема особенно актуальна для хостингов, в том числе бесплатных, предоставляющих доступ к MySQL.

Решения проблемы на данный момент нет. Неделю назад мною было отправлено соответствующее уведомление всем ведущим дистрибуторам Linux. Все они дружно ответили, что проблема действительно есть, и затрагивает не только ветку 5.X, как указано в оригинальном багрепорте, но и всю ветку 4.X.

>>> Подробности

←	Ноутбуки ХО обзаведутся игрой SimCity

OLPC: Get 1 Give 1 начался!

→

← 1 2 →

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от phasma 12.11.2007 17:00:35

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

postgres рулит

erfea

(12.11.2007 17:11:36)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от gloomdemon 12.11.2007 17:10:47

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

>> наверно использует ) mail.ru )

> Хм, и заплатили за него? А все остальные в списке истеричного анонимуса? Насколько я знаю, не особо.

мошт и заплатили, да в принципе ... так же можно использовать InnoDB и никому ничего не говорить ) но насколько знаю, обычно используют MyISAM )

~~phasma~~

(12.11.2007 17:18:19)

[#]

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

мдэ... звезда Саныча засияла на небосклоне... и в очередной раз за последние 12 лет тяпнул рюмашку за Postgre...

sda00

(12.11.2007 17:40:23)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonizmus 12.11.2007 16:47:10

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

>а кусок говна взятый из паутины (где он все равно есть) - другое. Имхо.

afair гугл зранит "куски говна" в самодельной субд(даже не субд на самом деле)

AcidumIrae

(12.11.2007 17:51:07)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от Sun-ch 12.11.2007 15:47:58

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

> А я таких как Линус, называю идиотами. У людей бизнес зависит от этих вещей,

И у каких же людей от этих вещей бизнес-то зависит, а ?

(12.11.2007 17:53:11)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от phasma 12.11.2007 15:50:19

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

> ога, много ли людей строят свой бизнес на MySQL ?)

А почему бы не строить ? Вот, например, чем мешает эта дырка при нормальной раздаче сервиса ? Ну положишь ты свою базу. Дальше что ?

(12.11.2007 17:56:54)

[#]

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

5.0.18 Windows - баг не подтвердился...

anonymous (12.11.2007 17:57:05)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от mutronix 12.11.2007 16:08:11

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

> Саныч - ум, честь и совесть ЛОРа ;)

Согласен, только когда мы его слово "линукс" научим выговаривать?

anonymous (12.11.2007 18:20:34)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от AcidumIrae 12.11.2007 17:51:07

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

>afair гугл зранит "куски говна" в самодельной субд(даже не субд на самом деле)

Это че такое? Ссылки можете в студию привести? Один мой знакомый утверждал, что Microsoft Windows NT писала на собственно разработанном языке. Так что без ссылок не верю.

anonymous (12.11.2007 18:22:51)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonizmus 12.11.2007 16:25:03

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

>:-) В подобных списках обычно не те кто ИСПОЛЬЗУЕТ а те кто когда либо использовали. Мне кажется что разумные люди таки переходят на постгрес там где можно.

В Postgres'е отстойная репликация. А shared-nothing кластер в последних MySQLях - очень приятная вещь...

anonymous (12.11.2007 18:38:49)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonymous 12.11.2007 18:22:51

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

>Microsoft Windows NT писала на собственно разработанном языке

на аццком коктейле из дельфи и брейнфака? =))

по сабжу: innodb фтопку, мускуль под мелкие внутрисетевые форумы, постгрес в массы!

Suicide_inc

(12.11.2007 18:39:11)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonymous 12.11.2007 18:22:51

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

http://labs.google.com/papers/gfs.html

stellar

(12.11.2007 19:18:50)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonymous 12.11.2007 18:38:49

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

>В Postgres'е отстойная репликация. А shared-nothing кластер в последних MySQLях - очень приятная вещь...

Кому ты песдиЖЪ анонизьмус?!
В говноподелии мыскыл реплицируются только базы ___целиком___ влазиющие в память! Охренненно юзабельно! Тру Ытырпрайз!

anonymous (12.11.2007 19:36:24)

[#]

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

ну вы и понопесали, даж не могу выбрать по какой теме дальше флэйм продолжить )))

~~phasma~~

(12.11.2007 19:57:44)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonymous 12.11.2007 19:36:24

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

иди маны покури прежде чем такую чушь писать.

anonymous (12.11.2007 20:37:37)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от Sun-ch 12.11.2007 15:47:58

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

А если у меня бизнес зависит от тайских девочек, раздевающихся за чашку риса, мне теперь можно ФБР, отпугивающее клиентов, разгонять?

bakagaijin

(12.11.2007 21:02:21)

[#]

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

Пупсики:) mysql, postgres.. репликация,продакшн говорите? Oracle наше всё.

anonymous (12.11.2007 21:16:34)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonymous 12.11.2007 21:16:34

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

PostrgeSQL и правда все больше и больше нравится. Попиарить бы его чуток как Firefox, только без фанатизма а то станет память жрать.

anonymous (12.11.2007 21:25:05)

[#]

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

всё выполнил, в конце получил

Empty set (31 ms)

version 5.0.45-community-nt

только линуксовая уязвимость?

anonymous (13.11.2007 2:59:34)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от gloomdemon 12.11.2007 17:10:47

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

innodb говорите? так это оракля значить кривая :-)

anonymous (13.11.2007 8:04:21)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonymous 12.11.2007 19:36:24

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

>В говноподелии мыскыл реплицируются только базы ___целиком___ влазиющие в память! Охренненно юзабельно! Тру Ытырпрайз!

рекомендую осилить мануал на 5.1 а не нести чушь.

anonymous (13.11.2007 8:06:06)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonymous 13.11.2007 8:06:06

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

> рекомендую осилить мануал на 5.1 а не нести чушь.

Рекомендую осилить English:
MySQL 5.1 Community Edition - Release Candidate Development Release

NOTE: This release candidate release, as any other pre-production release, should not be installed on production level systems or systems with critical data.

в здравом уме никто 5.1 не будет использовать в production. Только если ССЗБ и хочется гемороя.

Korwin

(13.11.2007 9:14:03)

[#]

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

5.0.45-community-nt

Бага не наблюдается, правда это под виндой а не под линуксом.

cathode

(13.11.2007 9:33:05)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonymous 12.11.2007 18:22:51

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

>>afair гугл зранит "куски говна" в самодельной субд(даже не субд на самом деле)

>Это че такое? Ссылки можете в студию привести? Один мой знакомый утверждал, что Microsoft Windows NT писала на собственно разработанном языке. Так что без ссылок не верю.

"кто здесь?" (с) иди-ка ты на http://labs.google.com/papers/googlecluster.html и пока не найдешь там "MySQL" не возвращайся :-Р

AcidumIrae

(13.11.2007 13:13:56)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от dmesg 12.11.2007 15:42:51

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

Понимаешь ли, дать автору пару недель на исправления бага, дождаться багфикса, а затем full-disclosure - это как бы хороший тон. Ты, наверное, идиот, если считаешь, что подготовив инструкцию для скрипт-киддис и выложив ее на ЛОР или какой-нить сукьюрлаб.ру, ты делаешь большое одолжение делу безопасности.

GQ (14.11.2007 9:34:51)

[#]

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

5.0.45, Win32, бага не подтвердилась.

anonymous (14.11.2007 9:54:15)

[#] Ответ на: Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit. от anonymous 12.11.2007 21:16:34

Re: Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

Были бы деньги, юзали бы Оракл :), но бюджета на него нету.

В итоге пользуем Postgres/MySQL/Firebird в зависимости от задач.

anonymous (14.11.2007 9:58:01)

← 1 2 →

←	Ноутбуки ХО обзаведутся игрой SimCity

Безопасность

OLPC: Get 1 Give 1 начался!

→