Зафиксирован взлом сайта MySQL.com через подстановку SQL-кода

Материал из Викиновостей, свободного источника новостей

28 марта 2011 года

Поступило сообщение об успешном взломе сайтов MySQL.com и Sun.com, а также некоторых связанных с ними субпроектов. Примечательно, что проникновение было совершено через простейшую уязвимость в используемом на сайте web-приложении, позволившую осуществить подстановку SQL-кода из-за некорректной проверки одного из параметров, задействованного в формировании обращения к службе клиентских сервисов. По доступным в настоящий момент данным, взлом ограничился только доступом к СУБД. Пока нет никаких сведений, указывающих на то, что атакующим удалось получить доступ к серверу или web-движку.

Атакующие уже опубликовали в открытом доступе список всех обслуживаемых на взломанном сервере баз данных и перечень некоторых таблиц. В одной из таблиц содержался список пользователей и администраторов СУБД. Большинство паролей для пользователей в данном списке было представлено в виде DES-хэшей, что позволило атакующим достаточно оперативно подобрать значение некоторых простейших паролей. Кроме того, по словам совершивших атаку, удалось получить доступ к содержимому архива приватной переписки по электронной почте, таблицам с данными по сотрудникам и клиентам (с email и реквизитами), таблицам с результатами работы систем мониторинга, позволяющих определить подробности построения сети и т.п.

Совершившие взлом подчеркнули, что сайт MySQL.com работает под управлением Fedora Linux, Apache 2.2.15 и PHP 5.2.13 (устаревшая и не поддерживаемая ветка PHP) и поддерживает работу нескольких ключевых сервисов: загрузка общедоступных и промышленных сборок MySQL (MySQL Community и Enterprise), организация работы поддержки клиентов, обеспечение доставки обновлений, ресурсы по сертификации, консалтингу и обучению. Более того, некоторые из баз данных, к которым атакующим удалось получить доступ, используются для обеспечения другого крупного ресурса - сайта Sun.com.

Кроме того, в начале января в скрипте gpg.php на сайте mysql.com была найдена XSS-уязвимость, позволяющая осуществить атаку с использованием межсайтового скриптинга. Данная уязвимость до сих пор остается неисправленной.

Источники[править]

Creative Commons
Creative Commons
Эта статья содержит материалы из статьи «Зафиксирован взлом сайта MySQL.com через подстановку SQL-кода», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии[править]

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.