Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Des failles 0day mettent à mal MySQL et il faudra patienter à poil dans la neige encore un mois avant d’avoir un correctif

Edit : Le coup de pression de Dawid Golunski semble avoir fonctionné puisque MySQL 5.5.525.6.335.7.15 sont patchés.

Alors là c’est craignos puisque 2 failles 0day assez critiques viennent d’être découvertes dans MySQL.

CVE-2016-6662 et CVE-2016-6663 permettraient à un attaquant de prendre le contrôle total de la base de données, et cela, peu importe la version de MySQL (5.7, 5.6, et 5.5) ou du fork.

Le chercheur Dawid Golunski n’a pas encore publié la CVE-2016-6663, mais en ce qui concerne la CVE-2016-6662, celle-ci permet d’injecter des paramètres dans la configuration de MySQL voire carrément d’utiliser un autre fichier de config. Pour arriver à cela, le hacker doit évidemment exploiter une injection SQL ou avoir un accès minimal à la base MySQL (via un phpmyadmin ou autre) et une fois ses modifications apportées à la config, il doit attendre que MySQL soit relancé.

La faille se situe dans le script mysql_safe qui est exécuté en root et même si des modules de sécurité sont déployés au niveau du noyau comme SELinux ou AppArmor, cela ne change rien.

En ce qui concerne les forks, MariaDB et PerconaDB, ils ont été patché. Par contre Oracle, informé depuis le 29 juillet ne fera rien avant le 18 octobre.

Pas cool, surtout que les patchs des autres peuvent permettre de retrouver la faille et donc de l’exploiter. Golunski a donc décidé de publier les détails du 0day ainsi qu’un proof of concept, pour informer le public et probablement forcer un peu la main à Oracle.

Mais en attendant le 18 octobre, il est possible de contourner le problème en faisant en sorte que les fichiers de config de MySQL n’appartiennent pas à l’utilisateur mysql et créer un faux fichier de config my.cnf appartenant à root mais non utilisé. Ce n’est pas l’idéal, mais c’est mieux que rien !


Serveur NAS Synology DS218J – une valeur sûre dans un monde de brut

Le serveur NAS Synology DiskStation DS218j, c’est une solution performante de stockage conçue pour les particuliers, qui vous donne la possibilité de vous créer un cloud personnel. Muni de 2 baies, il est parfait pour un usage domestique. Son excellent débit séquentiel de 113 Mo/s en lecture et 112 Mo/s en écriture est rendu possible grâce à son double processeur Marvell Armada 385 88F6820 double coeur à 1,3 GH, avec moteur de chiffrement matériel.

Ce serveur NAS s’adapte sans effort aux environnements Windows, Mac ou Linux. Vous pouvez garder et synchroniser vos données Dropbox, Google Drive, Microsoft OneDrive, Baidu et Box sur votre serveur grâce au Cloud Sync.


Réponses notables

  1. staki says:

    Une fois de plus Oracle se fait remarquer par son manque de réactivité, pour ne pas dire son mépris des clients. Pitoyable !

  2. Grunk says:

    Oui enfin faut relativiser. Pour que l’exploit fonctionne il faut :

    • Avoir accès à mysql
    • Avoir pu envoyer un binaire sur le serveur
    • Etre en mesure de faire rebooter le serveur ou mysql.

    Les 2 premiers points me semble déjà délicats à obtenir.

Continuer la discussion sur Korben Communauté

5 commentaires supplémentaires dans les réponses

Participants