Bezpečnostní chyba v MySQL a MariaDB

Dawid Golunski zveřejnil v diskusním listu Open Source Security informace o vážné bezpečnostní chybě CVE-2016-6662 zneužitelné k eskalaci práv v systémech řízení báze dat (SŘBD) MySQL a MariaDB. Detaily na stránkách legalhackers.com. Vývojáři MariaDB chybu opravili ve verzích 5.5.51, 10.1.17 a 10.0.27.

12.9.2016 23:00 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Salamek]

systémech řízení báze dat (SŘBD)

Nektere veci by se proste nemely pocestovat... (To psal zas nejakej vysokoskolak ne ?)

[Michal Kubeček]

A vůbec, jaká cizácká báze?! Nemáme snad hezké české slovo základna?

[xm]

Ještě možná místo systém použít něco jako ústrojí nebo soustava a místo data použít údaje a bylo by dílo dokonáno

Ústrojí řízení základny údajů (ÚŘZÚ)

[trekker.dk]

No cizácká báze. Nalítni tam s ponorkou, vyrubej to tam a hurá na maminčiny knedlíky (jako že špatné překlady moc nemusím, na ten z x-com 2 vzpomínám docela rád )

[kyknos]

vysokoskolak obvykle umi anglicky a nepotrebuje podobne ptydepe, ne? ja bych rekl, ze to psal obycejny pologramotny debil :)

[alkoholik]

Omyl, prave do vysokoskolaku tohle husti.

[skunkOS]

I na UPOLu jsem tu českou variantu ve skriptech zahlédl.

[nyan]

Ale delaji to spatne, je to nedotazene. Furt tam vidim neprelozene slova:

cluster indexovaný, cluster hashovaný

cluster + hash prelozit

vytváření odpovídajících SQL dotazů

SQL ? nein, cestina pls

[kyknos]

No jo, neuvědomil jsem si, že dnes existuje spousta vysokých škol, kde se lidé už neučí kriticky myslet a chápat odbornou literaturu, ale jen tam lidem hustí do hlavy nějaké sračky.

[Salamek]

No ja potkal jen vysokoskolaky z kterych padaji tyto komunisticko pocestene hovna.

[pepa z depa]

u MySQL se nejedná o SŘBD nýbrž o paskvil pro webaře. Skutečné SŘBD jsou DB2, Oracle nebo Postgresql. To říkal pan Stěhule na nějaké přednášce.

[nyan]

Oracle taky neni SRBD, fakticky je to cerna dira na penize. Jakekoliv SRBD je tam zcela nahodny vedlejsi efekt

[alkoholik]

To neni cerna dira, po dvou letech mi ted k bugu napsali:

Hi,

There is any internal discussion about this and it has been confirmed that this is bugged behavior.

Im waiting for response from dev team and will update you as soon as possible.

Regards,
Habeeb.

[Lol Phirae]

To je jen tvoje chyba; když si přikoupíš supr-čupr-megafast-SLA, tak ti odpovědí nejpozději do roka.

[alkoholik]

Odpoved uz po roce jsem samozrejme dostal:

Hi Jan,

We have not heard back on the " Bug 18937413 - OCI-21500" from our Dev filed for this SR.
Incase you need this to be expedited, I recommend you let us know the if the issue is critical and support it with
Business Justification so that I can involve our management.

Regards,
Habeeb.

[xm]

Koukam support Oracle funguje tempem ledovce Ale je tu šance, že se v geologicky dohledné době dočkáš i řešení

[nyan]

No asi naposled co jsem si precetl nejaky clanek tykajici se Oraclu, byl asi tenhle.

TL;DR: "Chief security officer" Oraclu se pustil(a) do zakazniku, ze jsou to kkti kteri si dovoluji nachazet security bugy v produktech vazeneho Oraclu

Myslim, ze je to docela dobry priklad vseobecneho pristupu te firmy k svym zakaznikum..

[Kos]

just Hawking radiation...

[mirec]

Nemám síce priamo skúsenosti s administráciou, ani supportom, ale v škole sme mali databázy práve na Oracle. Neviem ako sa mi to podarilo, ale asi 3x som v jeden deň zhodil celý server obyčajným SELECT zoznam polí FROM tabulka INNER JOIN inatabulka ON ... (boli to tabuľky s pár riadkami a ten istý príkaz s podmienkou WHERE namiesto ON fungoval). Od vtedy mám mierne pochybnosti o kvalite tohto produktu.

[aubi]

Mel bys mit opravnene pochybnosti o adminech na skole.

Jen tak od boku - nesmyslne omezena prava v systemu, read-only filesystem, plny, pripadne poskozeny disk; jen abych jmenoval par problemu, ktere jsem potkal.

A pokud to admin bezi na widlich, tak to je uplne smrtelna kombinace. Treba omezovani pristupu k registry programy miluji!

[mirec]

Žiaden zo spomínaných problémov to nebol a admini boli na linuxe. Čo presne spôsobovalo problém sa nezistilo ani po pár dňoch, či to vyriešili potom som už nezisťoval.

[ON]

Bohužel, DB2 se v ČR (potažmo v celém bývalém východním bloku - až na pár výjimek) všichni bojí jak čert kříže... Oracle je tu modla. Každopádně jsem si jist, že i v DB2 by se našly service requesty, které byly vyřizovány stylem popsaným zde u Oracle.