Kritisk MySQL-sårbarhet har blitt avslørt. Ingen sikkerhetfiks tilgjengelig

[Harald Brombach (digi.no)]

Ingress

Kritisk MySQL-sårbarhet har blitt avslørt. Ingen sikkerhetfiks tilgjengelig

[soulless]

Her er en litt mer kritisk gjennomgang av artikkelen:

 

https://www.reddit.com/r/netsec/comments/52dgxh/mysql_remote_root_code_execution_privilege/d7jefp0

 

I korte trekk ser det altså ut til at det kreves tilgang til å kjøre queries på server (SQL injeksjon kan ikke benyttes) og at database bruker må ha SUPER tilgang. Ikke helt superkritisk mao, men ille nok likevel.

[tommyb]

"For i utgangspunktet planlegger ikke Oracle å fjerne sårbarheten før i midten av oktober. "

 

*grumble*

[tingo]

Interessant. På FreeBSD så startes mysqld_safe som mysql brukeren, dermed rammes man ikke av root bruker sårbarheten. mysqld_safe scriptet har heller ikke set_malloc_lib() på FreeBSD. (det er fremdeles ikke lurt å la mysql brukeren ha rettigheter til å endre my.cnf)

Endret 13. september 2016 av tingo