Skip to content
Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Des failles 0day mettent à mal MySQL et il faudra patienter à poil dans la neige encore un mois avant d’avoir un correctif

Edit : Le coup de pression de Dawid Golunski semble avoir fonctionné puisque MySQL 5.5.525.6.335.7.15 sont patchés.

Alors là c’est craignos puisque 2 failles 0day assez critiques viennent d’être découvertes dans MySQL.

CVE-2016-6662 et CVE-2016-6663 permettraient à un attaquant de prendre le contrôle total de la base de données, et cela, peu importe la version de MySQL (5.7, 5.6, et 5.5) ou du fork.

Le chercheur Dawid Golunski n’a pas encore publié la CVE-2016-6663, mais en ce qui concerne la CVE-2016-6662, celle-ci permet d’injecter des paramètres dans la configuration de MySQL voire carrément d’utiliser un autre fichier de config. Pour arriver à cela, le hacker doit évidemment exploiter une injection SQL ou avoir un accès minimal à la base MySQL (via un phpmyadmin ou autre) et une fois ses modifications apportées à la config, il doit attendre que MySQL soit relancé.

En passant, je ne sais pas si vous avez vu mais l’hébergeur Hostinger propose des offres super intéressantes en matière d’hébergement web. C’est pas trop cher pour démarrer et s’auto-héberger. (Lien partenaire)

La faille se situe dans le script mysql_safe qui est exécuté en root et même si des modules de sécurité sont déployés au niveau du noyau comme SELinux ou AppArmor, cela ne change rien.

En ce qui concerne les forks, MariaDB et PerconaDB, ils ont été patché. Par contre Oracle, informé depuis le 29 juillet ne fera rien avant le 18 octobre.

Pas cool, surtout que les patchs des autres peuvent permettre de retrouver la faille et donc de l’exploiter. Golunski a donc décidé de publier les détails du 0day ainsi qu’un proof of concept, pour informer le public et probablement forcer un peu la main à Oracle.

Mais en attendant le 18 octobre, il est possible de contourner le problème en faisant en sorte que les fichiers de config de MySQL n’appartiennent pas à l’utilisateur mysql et créer un faux fichier de config my.cnf appartenant à root mais non utilisé. Ce n’est pas l’idéal, mais c’est mieux que rien !


Envie de te mettre aux cryptomonnaies ?

Tu as envie de te mettre aux cryptomonnaies mais tu ne sais pas par où commencer ni sur quelle plateforme te créer un compte ?

Il en existe beaucoup qui sont sérieuses et qui te permettront d’acheter des cryptomonnaies en toute sécurité, d’investir et faire du trading si tu le souhaites.

En passant, je ne sais pas si vous avez vu mais l’hébergeur Hostinger propose des offres super intéressantes en matière d’hébergement web. C’est pas trop cher pour démarrer et s’auto-héberger. (Lien partenaire)

Mais si je ne devais en garder que deux qui sont fiables, faciles à prendre en main, fortement sécurisées et en français, ce serait :

Bitpanda et Binance

Lien partenaire

Les articles du moment