Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Faille dans MySQL et MariaDB

Ce qui est rigolo avec les failles de sécurité, c’est qu’on pourrait être tenté de dire que plus les années passent, plus elles sont complexes et tordues à exploiter, mais en fait non… Certaines restent toujours très accessibles et simples, ouvrant des portes aussi grosses que votre tata Monique.

La dernière en date touche malheureusement MariaDB et MySQL, 2 bases de données très très très utilisées dans le monde (enfin, la seconde un peu plus que la première quand même ^^). Cette faille basique rend possible une attaque sur le mot de passe en saturant le logiciel de tentatives d’authentification. Il suffit de connaitre simplement le login qui va bien et qui la plupart du temps est root, et environ 300 essais ratés plus tard, la fonction memcmp accorde l’accès avec n’importe quel mot de passe. Magique !

En réalité, lorsqu’un utilisateur se connecte à une base MariaDB/MySQL, un jeton (token SHA généré à partir du mot de passe et d’une valeur aléatoire) est calculé et comparé à la valeur attendue. Et malheureusement, à cause de cette faille, il arrive que les 2 valeurs soient considérées comme égales alors qu’elles ne le sont pas.

Ce problème touche les versions de MySQL 5.1.61, 5.2.11, 5.3.5, 5.5.22 et toutes les versions de MariaDB. Ubuntu 64-bit 10.04, 10.10, 11.04, 11.10, et 12.04 sont toutes vulnérables ainsi que la version MySQL 5.5.23 de Fedora et d’OpenSUSE 12.1 64-bit. Par contre, les Debian, Red Hat Enterprise 4, 5, 6 et Gentoo 64 bits sont clean.

Pour tester chez vous, voici ce qu’il faut taper :

$ for i in `seq 1 1000`; do mysql -u root –password=bad -h 127.0.0.1 2>/dev/null; done

Maintenant la vraie question c’est : Comment se protéger ?

Et bien en attendant que cette faille soit patchée un peu partout, il suffit d’interdire l’accès à la base depuis l’extérieur. Logiquement, par défaut c’est le cas dans la plupart des distributions, mais si vous voulez être sûr, éditez le fichier my.cnf (moi, il se trouve ici /etc/mysql/my.cnf) puis dans la section [mysqld], ajoutez ou contrôlez que le paramètre bind-address est bien en 127.0.0.1.

Après fait la modif, relancez MySQL et voilà !

Source


Serveur NAS Synology DS218J – une valeur sûre dans un monde de brut

Le serveur NAS Synology DiskStation DS218j, c’est une solution performante de stockage conçue pour les particuliers, qui vous donne la possibilité de vous créer un cloud personnel. Muni de 2 baies, il est parfait pour un usage domestique. Son excellent débit séquentiel de 113 Mo/s en lecture et 112 Mo/s en écriture est rendu possible grâce à son double processeur Marvell Armada 385 88F6820 double coeur à 1,3 GH, avec moteur de chiffrement matériel.

Ce serveur NAS s’adapte sans effort aux environnements Windows, Mac ou Linux. Vous pouvez garder et synchroniser vos données Dropbox, Google Drive, Microsoft OneDrive, Baidu et Box sur votre serveur grâce au Cloud Sync.