Zugriff auf MySQL auch ohne Passwort möglich

von Marc Rochow | 0 | 1158 Aufrufe

Anzeige Hier werben

Der Datenbankserver MySQL akzeptieren unter bestimmten Konfigurationen ein beliebiges Passwort, solange man es nur ausreichend lang ausprobiert. Die Wahrscheinlichkeit auf Erfolg liegt bei 1 aus 256, wie Sergei Golubchik berichtet. Dem Angreifer muss lediglich ein Benutzername bekannt sein, in den allermeisten Fällen gibt es den Benutzer root.

Die Datenbankserver vergleicht bei der Anmeldung den gespeicherten Hash-Wert mit dem des gerade eingegebenen Passworts. Aufgrund einer fehlerhaften Typenumwandlung führt es dazu, dass die beiden Werte als "gleich" interpretiert werden, auch wenn die Funktion Memcmp() (Memory Compare) keinen Nullwert zurückgibt.

Laut Golubchik sind die offiziellen Versionen in Distributionen zwar nicht betroffen, in den Versionen 5.1.61, 5.2.11, 5.3.5 und 5.5.22 der beiden Datenbank kann der Fehler jedoch auftreten.

Wer testen möchte, ob die eigene Installation verwundbar ist, kann mit folgenden Einzeiler versuchen, den Fehler zu provozieren:

while true; do mysql -u root mysql --password=baha; done

Über den Autor: Marc Rochow
Webentwickler bei Team23, Djangonaut und Open-Source-Fan. Mehr Infos: www.gironimo.org
Profilseite betrachten