Sårbarhed i MySQL omgår din adgangskode

Angrebskoden til at udnytte en sårbarhed i MySQL, der gør det muligt at omgå autentifikation, er allerede frit tilgængelig.

Computerworld News Service: Sikkerhedsanalytikere har offentliggjort oplysninger om en sårbarhed i MySQL-serveren, der gør det muligt for angribere at få adgang til MySQL-databaser uden at indtaste korrekte kontooplysninger.

Sårbarheden identificeres som CVE-2012-2122 og blev lukket i opdateringerne til MySQL version 5.1.63 og 5.5.25 i maj.

Men mange server-administratorer er muligvis ikke klar over risikoen ved denne sårbarhed, fordi oversigten over ændringerne i disse versioner af databasen indeholder meget lidt information om dette sikkerhedshul.

Sådan fungerer den
Sårbarheden kan kun udnyttes, hvis MySQL-databasen er oprettet på et system, hvor funktionen memcmp() kan returnere værdier uden for intervallet mellem -128 og 127.

Det er tilfældet for Linux-systemer, der anvender et SSE-optimeret GNU C-bibliotek (glibc).

Hvis MySQL-databasen er oprettet på sådan et system, vil den kode, der sammenligner den kryptografiske hash af en brugerindtastet adgangskode med den relevante hash i databasen, nogen gange godkende autentifikation, selvom den indtastede adgangskode er forkert.

Sandsynligheden for at udnytte denne fejl succesfuldt på systemer, der opfylder forudsætningen, er omtrent én ud fra 256, oplyser Sergei Golubchik, der er sikkerhedskoordinator for MariaDB, i en e-mail sendt lørdag til mailinglisten oss-sec.

"~300 forsøg tager kun en brøkdel af et sekund at gennemføre, hvilket grundlæggende betyder, at beskyttelse ved hjælp af adgangskode til kontoen er så godt som ikkeeksisterende."

MariaDB er en community-udviklet forgrening af MySQL, der også er ramt af denne sårbarhed. Fejlen blev rettet i MariaDB versionerne 5.1.62, 5.2.12, 5.3.6 og 5.5.23 tilbage i april.

Der blev søndag føjet et modul til udnyttelse af denne sårbarhed til penetration test-frameworket Metasploit. Når sårbarheden er udnyttet, kopierer dette modul MySQL-serverens mastertabel over brugere, som indeholder alle hash af adgangskoder.

Ordbogsangreb
En angriber kan knække disse hash af adgangskoder ved hjælp af ordbogsangreb og beholde sin uautoriserede adgang til serveren, selv hvis rettelsen af denne sårbarhed installeres på et senere tidspunkt.

"Hvis man kigger på denne problemstilling fra en penetration-testers perspektiv, så vil dette være et af de mest nyttige MySQL-trick i lang tid fremover," skriver chefarkitekt for Metasploit, HD Moore, i et blogindlæg mandag.

Moore offentliggør samtidig i dette blogindlæg en liste af Linux-distributioner med ældre versioner af MySQL, der er sårbare overfor dette angreb, heriblandt 64-bit-versionerne af Ubuntu 10.04, 10.10, 11.04, 11.10 og 12.04, 64-bit-versionen af OpenSuSE 12.1, 64-bit-versionen af den ustabile gren af Debian, 64-bit-versionen af Fedora 16 samt en uspecificeret version af Arch Linux.

De fleste leverandører af Linux distribuerer MySQL via deres egne softwarearkiver og der bør på nuværende tidspunkt være rettede versioner tilgængelige til de mest populære Linux-distributionerne.

Brugerne rådes til at opgradere til ikke-sårbare versioner så hurtigt som muligt, især da angrebskoden for denne sårbarhed nu er offentligt tilgængelig.

Der findes ingen officiel rettelse til MySQL 5.0.x, da denne version af databaseserveren ikke længere understøttes af Oracle.

Det er dog muligt, at visse Linux-leverandører vil portere rettelsen bagud fra MySQL 5.1 eller 5.5.

Oversat af Thomas Bøndergaard


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Edgemo A/S
Konsulentydelser, soft- og hardware inden for virtualisering, deployment, systems management, server/storage, køling, sikkerhed, backup, remote backup

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Få succes med sourcing

Sourcing er en af de vigtigste strategiske discipliner i moderne it-drift. Uanset om du overvejer at in- eller outsource og hvad enten det er globalt eller lokalt, så kræver det viden og styr på aftaler og kontrakter. Læs mere



Datasikkerhed

Aldrig tidligere har det været mere afgørende, at vores it-systemer og data er sikre, for aldrig tidligere har vi været så afhængige af data. Og aldrig tidligere har vores data og systemer været så udsatte med så mange indgangsveje og muligheder for at blive ramt: Cloud, mobilbrug, BYOD samt virksomhedernes ofte meget fragmenterede it-infrastruktur med mange forskellige applikationer på kryds og tværs har givet mange nye kanaler ind til virksomhedernes netværk og systemer. Læs mere



Tips og tricks med Excel - Gratis inspirationsseminar

Kom til et spændende inspirationsseminar, der giver dig indsigt i hvordan Excel også kan benyttes til opgaver, som du måske ikke i dag bruger programmet til. Læs mere







Computerworld
Dansk sikkerhedsfirma slår alarm: "Jeg har fundet et atomkraftværk, hvor man kunne hæve strålingsniveauet og et fængsel, hvor fængselsdørene kan åbnes fra en server"
Dansk sikkerhedsfirma finder hidtil ukendt fejl, der kan udløse en katastrofe, hvis data havner i de forkerte hænder. Men der findes en løsning.
CIO
It-sikkerhed skal tænkes helt om: Det forkromede overblik er en mangelvare
Klumme: It-sikkerhed og bekæmpelse af cybercrime er kommet øverst på to-do-listen på direktionsgangene. Men hvis virksomhederne for alvor skal forstærke det digitale forsvarsværk, skal sikkerhedsbranchen se anderledes på it-løsningerne.
Channelworld
Dansk hosting-direktør: På disse tre områder banker danske hosting-firmaer Microsoft og Amazon af banen
Den danske hostingbranche er godt polstret til at modstå konkurrencen fra globale cloud-spillere som Amazon og Microsoft. Her er tre grunde til, at danske hostingudbydere ikke blæser omkuld i konkurrencen.
White paper
Intelligente forretningsprocesser
Læs her om de centrale egenskaber ved intelligente forretningsprocesser, deres fordele og hvordan du hæver dine egne forretningsprocessers IQ.