 |
Адрес в интернете: https://news.hostdb.ru/index/show/id/7215 |
Обновление MariaDB с устранением zero-day уязвимости, затрагивающей кодовую базу MySQL
Разработчики MariaDB оперативно отреагировали на опубликованные в выходные эксплоиты, использующие zero-day уязвимости в кодовой базе MySQL. В экстренном порядке выпущены обновления MariaDB 5.5.28a, 5.3.11, 5.2.13 и 5.1.66, в которых устранена проблема CVE-2012-5579, позволяющая аутентифицированному пользователю запустить код с правами процесса mysqld.
Из остальных проблем:
CVE-2012-5611 дублирует уже исправленную уязвимость CVE-2012-5579;
CVE-2012-5612 и CVE-2012-5614 - позволяют вызвать крах процесса. Проблемы будут исправлены в ближайшее время;
CVE-2012-5613 - не признана уязвимостью, так как для эксплуатации требуется наличие привилегий FILE, которые могут появиться у обычного пользователя только из-за ошибки администратора. Разработчик эксплоита не согласился с такой точкой зрения, указав, что получение прав "ADMIN" имея только права "FILE" не является штатным поведением;
CVE-2012-5615 - метод обнаружения наличия пользователя, разработчики MariaDB ищут способ блокировать проблему;
Отмечается, что компания Oracle пока никак не отреагировала на наличие данных проблем в MySQL. О времени выхода обновления для MySQL пока ничего не известно.
Дополнение: Компания Red Hat ведёт работу по созданию патчй для MySQL.
Распечатано с HostDB.ru.