Sicherheitswarnung zu MySQL

[Dirk Munzinger]

Hallo zusammen,

für alle die in der entsprechenden Liste nicht angemeldet sind hier zwei 
Warnungen die heuten von RUS-CERT kamen:

[Generic/MySQL] Schwachstellen im MySQL-Server
(2002-12-13 08:30:44.555259+01)
Quelle: http://cert.uni-stuttgart.de/archive/vulnwatch/2002/12/msg0000
9.html

Im MySQL-Datenbank-Server sind Schwachstellen entdeckt worden, die von
authentifizierten Angreifern ausgenutzt werden können.

Betroffene Systeme
   * MySQL-Server in den Versionen der 3.23-Serie bis einschließlich
     3.23.53a
   * MySQL-Server in den Versionen der 4.x-Serie bis einschließlich
     4.0.5a

Nicht betroffene Systeme
   * MySQL-Server in der Version 3.23.54
   * MySQL-Clients (siehe jedoch die [1]andere Meldung)
   * Systeme, die mit entsprechenden Vendor-Patches zur Behebung der
     Schwachstelle versehen sind, die aber i.d.R. nicht die
     Versionsnummer ändern.

Einfallstor
Zugriffe auf den MySQL-Server (z.B. über TCP-Port 3306). Ein Angreifer
muß sich beim MySQL-Server authentifizieren, anonyme Angriffe sind
nicht möglich.

Auswirkung
  1. Denial of Service (DoS). Ausführen beliebigen Programmcodes ist
     auf manchen Plattformen eventuell möglich.
  2. Ein Angreifer kann Zugriff als MySQL-root-Benutzer erlangen.
  3. Denial of Service, Ausführung beliebigen Programmcodes ist auf
     manchen Plattformen möglich.

Typ der Verwundbarkeit
  1. buffer overflow bug
  2. Fehler beim Paßwort-Vergleich
  3. buffer overflow bug

Gefahrenpotential
  1. mittel bis hoch
  2. hoch
  3. mittel bis hoch

(Hinweise zur [2]Einstufung des Gefahrenpotentials.)

Beschreibung
Im MySQL-Datenbank-Server wurden drei Schwachstellen entdeckt:
  1. Bei der Verarbeitung von Kommandos zum Ausgeben einer Tabelle kann
     es vorkommen, daß ein negativer Wert an die memcpy-Routine als
     Länge übergeben wird. Dadurch kommt es zu einem Pufferüberlauf, da
     der Wert von memcpy als große positive Zahl interpretiert wird.
  2. Der MySQL-Server prüft bei der Verarbeitung einer Anfrage zum
     Wechseln des Datenbank-Accounts innerhalb einer Sitzung nur das
     erste Zeichen des eingegebenen Paßworts auf Korrektheit. Dadurch
     kann ein Angreifer leicht zu allen Datenbank-Accounts zugriff
     erlangen (inklusive das des MySQL-root-Benutzers, der aber nicht
     mit dem root-Account des Systems identisch ist).
  3. Ebenfalls in der Bearbeitung der Anfrage zur erneuten
     Authentifizierung ist ein Pufferüberlauf enthalten.

Insbesondere die zweite Schwachstelle ist gravierend in Umgebungen, in
denen sich mehrere Benutzer, die sich nicht gegenseitig vertrauen,
eine Datenbank teilen (z.B. in einer typischen Hosting-Umgebung). Auch
die DoS-Schwachstellen lassen sich in gewissen Umgebungen für
weitergehende Angriffe nutzen (falls es möglich ist, statt des
abgestürzten MySQL-Prozesses einen manipulierten Server an TCP-Port
3306 zu binden.)

Außerdem wurde ein mehrfacher Aufruf von free entfernt, wobei hier
keine Information über mögliche Implikationen für die Sicherheit von
MySQL-Servern vorliegt.

Gegenmaßnahmen
   * Upgrade auf [3]MySQL 3.23.54.

Aktuelle Version dieses Artikels
[4]http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1039

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der
Universität Stuttgart recherchiert und zusammengestellt. Die
Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte.
Dieser Artikel darf ausschließlich in unveränderter Form und nur
zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis
veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen
an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2002 RUS-CERT, Universität Stuttgart,
[5]http://CERT.Uni-Stuttgart.DE/

References

1. http://CERT.Uni-Stuttgart.DE/ticker/article-bare.php?mid=1039
2. http://CERT.Uni-Stuttgart.DE/ticker/charta.php#Gefaehrdungsstufen
3. http://www.mysql.com/downloads/mysql-3.23.html
4. http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1039
5. http://CERT.Uni-Stuttgart.DE/

[Generic/MySQL] Schwachstellen in der Client-Bibliothek
(2002-12-13 08:30:55.876734+01)
Quelle: http://cert.uni-stuttgart.de/archive/vulnwatch/2002/12/msg0000
9.html

In der Bibliothek für den Client-Zugriff auf MySQL-Datenbankserver
wurden zwei Pufferüberlauffehler entdeckt.

Betroffene Systeme
   * MySQL-Clients mit der Client-Bibliothek in den Versionen der
     3.23-Serie bis einschließlich 3.23.53a
   * MySQL-Clients mit der Client-Bibliothek in den Versionen der
     4.x-Serie bis einschließlich 4.0.5a

Nicht betroffene Systeme
   * Die Client-Bibliothek aus MySQL 3.23.54.
   * Systeme, die mit entsprechenden Vendor-Patches zur Behebung der
     Schwachstelle versehen sind, die aber i.d.R. nicht die
     Versionsnummer ändern.

Einfallstor
Speziell gestaltete Antworten von einem MySQL-Server (z.B. über
TCP-Port 3306)

Auswirkung
Ein Angreifer kann wahrscheinlich beliebigen Maschinencode mit den
Rechten des Prozesses, der auf die MySQL-Datenbank zugreift,
ausführen.

Typ der Verwundbarkeit
buffer overflow bugs

Gefahrenpotential
hoch bis sehr hoch (abhängig von der Anwendung, die den MySQL-Zugriff
nutzt).
(Hinweise zur [1]Einstufung des Gefahrenpotentials.)

Beschreibung
In der Client-Bibliothek, die zum Zugriff auf MySQL-Server verwendet
wird, wurden zwei Pufferüberlauffehler entdeckt. Angreifer, die
Kontrolle über den kontaktierten MySQL-Server besitzen (oder Zugriffe
zu einem unter ihrer Kontrolle stehenden System umleiten können), sind
über die Schwachstelle sehr wahrscheinlich in der Lage, beliebigen
Maschinencode mit den Rechten der Client-Anwendung auf dem
Client-System auszuführen. (Dies können auch root-Rechte sein, falls
z.B. ein PAM-Modul auf eine MySQL-Datenbank zugreift.)

Gegenmaßnahmen
   * Upgrade auf [2]MySQL 3.23.54.

Achtung: Statisch gegen die MySQL-Bibliothek gelinkte Programme müssen
neu gelinkt werden, um die Schwachstelle auszumerzen.

Aktuelle Version dieses Artikels
[3]http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1040

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der
Universität Stuttgart recherchiert und zusammengestellt. Die
Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte.
Dieser Artikel darf ausschließlich in unveränderter Form und nur
zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis
veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen
an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2002 RUS-CERT, Universität Stuttgart,
[4]http://CERT.Uni-Stuttgart.DE/

References

1. http://CERT.Uni-Stuttgart.DE/ticker/charta.php#Gefaehrdungsstufen
2. http://www.mysql.com/downloads/mysql-3.23.html
3. http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1040
4. http://CERT.Uni-Stuttgart.DE/





-- 
Infos zur Mailingliste, zur Teilnahme und zum An- und Abmelden unter
-->>  http://www.4t2.com/mysql