Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Критическая root-уязвимость в MySQL, opennews (??), 12-Сен-16, (0) [смотреть все] ах-ах-ах ужас, ужас Мысль о touch var lib mysql my cnf chattr i var lib , Аноним (-), 17:54 , 12-Сен-16, (1) +1 // Я воспользовался четвертым вариантом и выкинул MySQL , Аноним (-), 10:24 , 13-Сен-16, (37) +1 Как временный вариант, до выходы полноценного патча, это в принципе должно работ, gogo (?), 00:15 , 14-Сен-16, (76) // И, между прочем, классический случай наказания за нарушение unix-way - сделали п, gogo (?), 00:19 , 14-Сен-16, (77) +4 // програмеры на шелле те еще безопасники, особенно забавно выглядит led который на, Аноним (-), 02:02 , 14-Сен-16, (82) Так какого чёрта в репах у них до сих пор 10 0 22 Вот теперь у меня уже подгорае, Ilya Indigo (ok), 18:06 , 12-Сен-16, (2) // 10 0 26 в репахhttp software opensuse org package mariadb, Ян Злобин (ok), 18:48 , 12-Сен-16, (5) +1 // openSUSE Tumbleweedофициальный выпуск 5 5 29И битая ссылка на загрузку, так к, Ilya Indigo (ok), 18:53 , 12-Сен-16, (6) // Вот, что вижу я http yan zlobin name files software opensuse org png, Ян Злобин (ok), 14:44 , 13-Сен-16, (59) +1 var lib mysql my cnf chattr i var lib mysql my cnfНе благодари , rt (??), 22:29 , 12-Сен-16, (19) –1 До Кристины достучались , KM (?), 02:54 , 13-Сен-16, (23) // Вот интересный вопрос В принципе, да Я подумал, что она русская, исходя из её , Ilya Indigo (ok), 08:27 , 13-Сен-16, (31) // Я полагаю, она и сама в курсе https bugzilla novell com show_bug cgi id CVE-2, KM (?), 09:25 , 13-Сен-16, (33) Но если даже опеннет в курсе, то я и не сомневался что она в курсе тоже - Но я, Ilya Indigo (ok), 10:46 , 13-Сен-16, (42) –1 А по запоздалым обновлением она просветила вопрос Ибо уже и самому интересно , KM (?), 17:36 , 13-Сен-16, (67) Пока только написала, что запрос на перевод на ветку 10 1 уже был произведён, но, Ilya Indigo (ok), 17:48 , 13-Сен-16, (69) –1 Важно уже то, что появился обратный отклик и что не приходится гадать и строить , KM (?), 21:37 , 13-Сен-16, (72) Thank you for your email I m out of the office and will be back at 2016-09-19 , Ilya Indigo (ok), 17:09 , 14-Сен-16, (92) –1 You can see the declined request here 0 I have to say that I wasquite busy fo, Ilya Indigo (ok), 14:48 , 15-Сен-16, (95) –1 ПодфАртило От слова фарт , а не от слова форт Повезло, а не укрепило В нагр, Нет (?), 14:53 , 14-Сен-16, (89) +1 // Благодарю, запомню , Ilya Indigo (ok), 15:05 , 14-Сен-16, (90) +1 PostgreSQL решает проблему , Аноним (-), 21:08 , 12-Сен-16, (11) +8 // Привнося массу своих https eng uber com mysql-migration Но Postgres - хорошая , А (??), 00:53 , 13-Сен-16, (22) –1 // Хорошая школа - простой NoSQL Который не умеет в произвольные файлы записывать,, Аноним (-), 04:23 , 13-Сен-16, (24) –1 // А postgresql и не умеет, если специальными плагинами не обвеситься , Аноним (-), 04:31 , 13-Сен-16, (26) COPY SELECT asdf TO tmp asdf txt https www postgresql org docs current , 1 (??), 12:31 , 13-Сен-16, (48) И правда Тьфу на них , Аноним (-), 13:40 , 13-Сен-16, (55) Хорошая школа - простой NoSQLДля информации NoSQL расшифровывается как not only , Лютый жабист_ (?), 05:02 , 13-Сен-16, (28) –3 Ровно до той поры, пока не нужна консистентность данных и сложные выборки И жрё, Аноним (-), 08:39 , 13-Сен-16, (32) +6 Единственная прям фича монги - это шардинг из коробки Выбор же btree для докумен, Аноним (-), 13:50 , 13-Сен-16, (56) +1 так не надо пользоваться программами от жабистов-апачистов, не могут они в безоп, Аноним (-), 16:00 , 13-Сен-16, (60) только лучший NoSQL - это тоже PostgreSQL , Аноним (-), 09:49 , 13-Сен-16, (34) +2 Скажи честно, NoSQL ты видел толко на картинке Или ты говоришь о некой конкретн, angra (ok), 10:25 , 13-Сен-16, (38) Ага DBF , Аноним (-), 13:18 , 13-Сен-16, (51) я еще и пользуюсь внаглую несколькими видами баз key-value и желаю удачи тебе и , Аноним (-), 17:24 , 13-Сен-16, (66) Но их названия ты конечно не скажешь А то вдруг тебе покажут, как они могут пис, angra (ok), 06:36 , 14-Сен-16, (87) +1 Такой как redis Понятно, что дело было не в бобине, и тем не менее , ueueue (?), 12:12 , 13-Сен-16, (44) Если внимательнее прочитать, то понятно, что это всё не абсолютные преимущества , Аноним (-), 04:29 , 13-Сен-16, (25) +4 // Неужто в документации сразу пишут об еще не обнаруженных багах А может там пишу, angra (ok), 10:30 , 13-Сен-16, (41) –1 Это вы так жестоко про MySQL Килотонны багов на https bugs mysql com , Аноним (-), 12:18 , 13-Сен-16, (45) Нет, не про мускул, не про постгрес и даже не про их сравнение по забагованности, angra (ok), 13:01 , 13-Сен-16, (49) ну у ребят из skype как то же получилось прочитать документацию , Аноним (-), 13:09 , 13-Сен-16, (50) Репликацию сделали нормальную физическую Физическая репликация потребляет трафи, Аноним (-), 13:36 , 13-Сен-16, (54) +2 Какие критерии нормальности Сразу начинаем с демагогии Хороший старт Любая ре, angra (ok), 14:29 , 13-Сен-16, (57) Мы не о настоящем говорим, а о прошлом, WAL decoder уже есть - pglogical, даже в, Другой Аноним (?), 08:37 , 15-Сен-16, (93) +1 большие объемы траффика стоят много денег, поэтому если проект взлетает - потреб, Аноним (-), 02:14 , 14-Сен-16, (85) физическая репликация надежнее если у тебя пара серваков например с биллингом, , Другой Аноним (?), 09:01 , 15-Сен-16, (94) И что, selinux в нормальных дистрибутивах не спасёт Политиками разрешена запись, Аноним (-), 21:14 , 12-Сен-16, (12) –1 // Скажу больше, selinux из коробки вообще не спасает Только создает видимость безо, Аноним (-), 21:37 , 12-Сен-16, (13) +2 В нормальных дистрибутивах например в альтлинукс нет selinux , Shichael Migorin (?), 16:42 , 13-Сен-16, (64) –1 dev-db mysql-5 6 31 0 18 gentoodev-db mariadb-10 0 26 0 18 gentooЖдемс обновде, LinuxID (ok), 22:28 , 12-Сен-16, (18) В перконе уже пофиксили , stalker37 (ok), 23:05 , 12-Сен-16, (21) –1 // Где в перконе пофиксили в репо 5 6 32 а надо 5 6 33Или я не прав , Христофор (?), 05:58 , 13-Сен-16, (29) // This is a CRITICAL update, and the fix mitigates the potential for remote root c, stalker37 (ok), 12:22 , 13-Сен-16, (47) В марие пофиксили с третьей попытки 1 https github com MariaDB server comm, Аноним (-), 04:49 , 13-Сен-16, (27) +1 Гмм получается MariaDB 10 1 не уязвима , Аноним (-), 10:12 , 13-Сен-16, (36) // Да похоже это не LTS, Аноним (-), 10:28 , 13-Сен-16, (40) Может кто-нибудь объяснить как подразумевается использовать эту уязвимость Либо, ALex_hha (ok), 11:20 , 13-Сен-16, (43) +1 // Всякие движки ставят с правами SUPER privilege и оно это деплоит, это не под стр, Аноним (-), 12:19 , 13-Сен-16, (46)   // получение рута на сервере - это не большой факап может вы сразу тогда всем жела, Аноним (-), 02:11 , 14-Сен-16, (84)   Для этого придется пройти по ссылке и прочитать оригинал на английском Там есть, angra (ok), 13:22 , 13-Сен-16, (52) А какого хрена mysql вообще работает под root Тот же postgres делает setgid set, Аноним (-), 13:35 , 13-Сен-16, (53) –3 // Еще один нечитатель Мускул не работает под рутом , angra (ok), 14:32 , 13-Сен-16, (58) +2 Эксплуатация возможно только если у пользователя есть право FILE или SUPER на БД, CHERTS (??), 16:28 , 13-Сен-16, (61) // В альтлинуксе именно так и есть , Shichael Migorin (?), 16:40 , 13-Сен-16, (63) –1 GRANT ALL PRIVILEGES ON db TO user localhost IDENTIFIED BY password А это , Ilya Indigo (ok), 16:45 , 13-Сен-16, (65) +1 // Да При этом ни FILE, ни SUPER получены не будут А вот так делать нельзя GRANT , angra (ok), 00:32 , 14-Сен-16, (78) +1 Ничего подобного, вы просто не дочитали до конца It is worth to note that attack, Аноним (-), 23:09 , 13-Сен-16, (74) Такие разрешения дает только идиот Максимум, что нужно для любого LAMP хостинга, CHERTS (??), 21:27 , 13-Сен-16, (71) // А ты бы поинтересовался для начала, что именно выдаст ALL при применении на DB, , angra (ok), 00:38 , 14-Сен-16, (79) я собственно читал оригинал автора, который и нашел эту уязвимость - http lega, ALex_hha (ok), 22:17 , 13-Сен-16, (73) // Посмотрите ещё раз упоминание CVE-2016-6663, который позволяет обойтись без прав, Аноним (-), 23:11 , 13-Сен-16, (75) Согласен, но FILE все-таки выдается куда чаще, чем SUPER Мне самому интересно у, angra (ok), 00:41 , 14-Сен-16, (80) то ли я плохо читал, то ли не нашел, как именно можно создать var lib mysql my , ALex_hha (ok), 01:09 , 14-Сен-16, (81) // Почитай в багтрекере https bugzilla novell com show_bug cgi id CVE-2016-6662, Аноним (-), 02:09 , 14-Сен-16, (83) Интересно, как ты читал CVE-2016-6663, если его детали пока еще не опубликованы , angra (ok), 04:18 , 14-Сен-16, (86) имеется ввиду proof of concept, по ссылке, которую я привел выше Кстати интересн, ALex_hha (ok), 10:44 , 14-Сен-16, (88) Объясните тупому, у меня на сервере CentOS 6 6 и там только MySQL 5 1 - эта верс, Аноним (-), 16:29 , 14-Сен-16, (91) // Согласно комментарию https bugzilla redhat com show_bug cgi id 1375198 c13 у, Andrew (??), 23:03 , 15-Сен-16, (96) А как можно атаковать удалённо, если skip-networking При включённом skip-networ, rvs2016 (ok), 23:03 , 01-Окт-16, (98) 1,2,11,12,18,21,27,36,43,53,61,71,73,81,88,91,98

Сообщения

[Сортировка по времени | RSS]

	46. "Критическая root-уязвимость в MySQL"	+/–
	Сообщение от Аноним (-), 13-Сен-16, 12:19
	> Может кто-нибудь объяснить как подразумевается использовать эту уязвимость? Либо вот тут > - "для эксплуатации требуется аутентифицированный доступ к БД" они что то > не договаривают, ибо просто доступа к БД недостаточно. Так как, например, > set global general_log_file требует SUPER privilege, а откуда они возьмутся у > обычного пользователя? Всякие движки ставят с правами SUPER privilege и оно это деплоит, это не под строгий проект.
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Критическая root-уязвимость в MySQL"	+/–
	Сообщение от Аноним (-), 14-Сен-16, 02:11
	> Всякие движки ставят с правами SUPER privilege и оно это деплоит, это > не под строгий проект. получение рута на сервере - это не большой факап? может вы сразу тогда всем желающим рутовый доступ дадите, чтобы не надо было с мускулом извращаться?
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема