Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Des failles 0day mettent à mal MySQL et il faudra patienter à poil dans la neige encore un mois avant d’avoir un correctif

Edit : Le coup de pression de Dawid Golunski semble avoir fonctionné puisque MySQL 5.5.525.6.335.7.15 sont patchés.

Alors là c’est craignos puisque 2 failles 0day assez critiques viennent d’être découvertes dans MySQL.

CVE-2016-6662 et CVE-2016-6663 permettraient à un attaquant de prendre le contrôle total de la base de données, et cela, peu importe la version de MySQL (5.7, 5.6, et 5.5) ou du fork.

Le chercheur Dawid Golunski n’a pas encore publié la CVE-2016-6663, mais en ce qui concerne la CVE-2016-6662, celle-ci permet d’injecter des paramètres dans la configuration de MySQL voire carrément d’utiliser un autre fichier de config. Pour arriver à cela, le hacker doit évidemment exploiter une injection SQL ou avoir un accès minimal à la base MySQL (via un phpmyadmin ou autre) et une fois ses modifications apportées à la config, il doit attendre que MySQL soit relancé.

La faille se situe dans le script mysql_safe qui est exécuté en root et même si des modules de sécurité sont déployés au niveau du noyau comme SELinux ou AppArmor, cela ne change rien.

En ce qui concerne les forks, MariaDB et PerconaDB, ils ont été patché. Par contre Oracle, informé depuis le 29 juillet ne fera rien avant le 18 octobre.

Pas cool, surtout que les patchs des autres peuvent permettre de retrouver la faille et donc de l’exploiter. Golunski a donc décidé de publier les détails du 0day ainsi qu’un proof of concept, pour informer le public et probablement forcer un peu la main à Oracle.

Mais en attendant le 18 octobre, il est possible de contourner le problème en faisant en sorte que les fichiers de config de MySQL n’appartiennent pas à l’utilisateur mysql et créer un faux fichier de config my.cnf appartenant à root mais non utilisé. Ce n’est pas l’idéal, mais c’est mieux que rien !


Promo: 3 mois gratuits pour tester ExpressVPN

Bénéficiez de 12 mois + 3 mois gratuits avec cette offre spéciale

ExpressVPN est le premier fournisseur VPN du monde, avec des serveurs rapides et ultra-sécurisés dans plus de 160 localisations dans 94 pays. Chaque abonnement VPN s’accompagne d’une garantie satisfait ou remboursé de 30 jours sans condition. Si vous avez besoin d’un service VPN de qualité, mais que vous souhaitez faire des économies, vous êtes au bon endroit.

Découvrez ici l’abonnement exclusif 15 mois d’ExpressVPN. Avec cette offre, vous avez un accès illimité aux serveurs VPN haut débit et ultra-sécurisés et à 3 mois supplémentaires totalement gratuits. C’est une réduction de 49 % par rapport au prix mensuel habituel. Vous ne trouverez nulle part ailleurs de tarifs plus bas que celui-ci pour ExpressVPN.

Profitez de 12 mois + 3 gratuits