• Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

Поступило сообщение об успешном взломе сайтов MySQL.com и Sun.com, а также некоторых связанных с ними субпроектов. Примечательно, что проникновение было совершено через простейшую  уязвимость, позволившую осуществить подстановку SQL-кода  из-за некорректной проверки одного из параметров скрипта, используемого для предоставления клиентских сервисов. По доступным в настоящий момент данным, взлом ограничился только доступом к СУБД. Пока нет никаких сведений, указывающих на то, что атакующим удалось получить доступ к серверу или web-движку.

Атакующие уже опубликовали в открытом доступе список всех обслуживаемых на взломанном сервере баз данных и перечень некоторых таблиц. В одной из таблиц содержался список пользователей и администраторов СУБД. Большинство паролей для пользователей в данном списке было представлено в виде MD5-хэшей, что позволило атакующим достаточно оперативно подобрать значение некоторых простейших паролей. Кроме того, по словам совершивших атаку, удалось получить доступ к содержимому архива приватной переписки по электронной почте, таблицы с данными по сотрудникам и клиентам (с email и реквизитами), таблицы с результатами работы систем мониторинга, позволяющих определить подробности построения сети и т.п.

Совершившие взлом подчеркнули, что сайт MySQL.com работает под управлением Fedora Linux, Apache 2.2.15 и PHP 5.2.13 (устаревшая и не поддерживаемая ветка PHP) и поддерживает работу нескольких ключевых сервисов: загрузка общедоступных и промышленных сборок MySQL (MySQL Community и Enterprise), организация работы поддержки клиентов, обеспечение доставки обновлений, ресурсы по сертификации, консалтингу и обучению. Более того, некоторые из баз данных, к которым атакующим удалось получить доступ, используются для обеспечения другого крупного ресурса - сайта Sun.com.

Кроме того, в начале января в скрипте gpg.php на сайте mysql.com была найдена XSS-уязвимость, позволяющая осуществить атаку с использованием межсайтового скриптинга. Данная уязвимость до сих пор остается не исправленной.

Источник — http://www.opennet.ru/opennews/art.shtml?num=30043
Главная ссылка к новости — http://techie-buzz.com/tech-news/mysql- … ction.html

Был, был и весь вышел...

2 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

Ужас. Бррр oO

Trouble  in WINDOWS reboot, trouble in UNIX be root.

3 Ответ от XRevan86

  • XRevan86
  • Пользователь
  • Неактивен
  • Зарегистрирован: 12.08.2010
  • Сообщений: 3,348
  • Репутация : [ 55 | 0 ]
Lupo Alberto пишет:

Fedora Linux

На сервере? Fedora?
Fedora? На сервере?

Народная мудрость "Работает - не трогай" разбилась о камни неисправленных уязвимостей ag.
Лучше ставить дистрибутив типа Debian Stable или RedHat (или CentOS, но не Fedora), а потом обновлять из репозиториев (при этом, обновляя ветку, если ветка зашла за грань "oldstable" (не поддерживается))

4 Ответ от Vadimsky (29.03.2011 22:16:28 отредактировано Vadimsky)

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]
Darth Revan пишет:

Лучше ставить дистрибутив типа Debian Stable или RedHat (или CentOS, но не Fedora)

Ну вот тут позвольте с вами не согласиться, а точнее даже без вашего разрешения не соглашусь.  wink
ИМХО в зависимости от назначения сервака нужно выбирать.
Вот у меня например на шлюзе именно федора, а на контроллере домена (в понимании Windows) CentOS.
Почему? да всё просто. CentOS стабильнее, что собственно от контроллера домена и требуется, а вот на шлюзе у меня антивирусный прокси с ClamAV, ну и соответсвенно антивирус нужен всегда новый, как по версии релиза так и по базам, чего в CentOS можно конечно добится, превратив его в федору, так зачем велосипед изобретать? Кстати, должен сказать, за всё время эксплуатации шлюза (по годам не скажу, изначально ставил Fedora 11потом просто обновлялся) ни разу не зависла и не упало в неё ничего, если не считать случая переполнения кеша сквида в самом начале, но это я от доброты душевной указал размер кеша больше размера диска, потом исправил и всё пучком.
То есть что я хочу сказать, если всё правильно настроить, и не пытаться чинить без надобности, то всё стабильно.
Это моё ИМХО и я им дорожу.

По теме. Надо обновлятся вовремя. Соственно ещё одна причина, почему на машине, смотрящей во внешний мир у меня федора.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null