Des failles 0day mettent à mal MySQL et il faudra patienter à poil dans la neige encore un mois avant d'avoir un correctif

Alors là c'est craignos puisque 2 failles 0day assez critiques viennent d'être découvertes dans MySQL.

CVE-2016-6662 et CVE-2016-6663 permettraient à un attaquant de prendre le contrôle total de la base de données, et cela, peu importe la version de MySQL (5.7, 5.6, et 5.5) ou du fork.

Le chercheur Dawid Golunski n'a pas encore publié la CVE-2016-6663, mais en ce qui concerne la CVE-2016-6662, celle-ci permet d'injecter des paramètres dans la configuration de MySQL voire carrément d'utiliser un autre fichier de config. Pour arriver à cela, le hacker doit évidemment exploiter une injection SQL ou avoir un accès minimal à la base MySQL (via un phpmyadmin ou autre) et une fois ses modifications apportées à la config, il doit attendre que MySQL soit relancé.

La faille se situe dans le script mysql_safe qui est exécuté en root et même si des modules de sécurité sont déployés au niveau du noyau comme SELinux ou AppArmor, cela ne change rien.

En ce qui concerne les forks, MariaDB et PerconaDB, ils ont été patché. Par contre Oracle, informé depuis le 29 juillet ne fera rien avant le 18 octobre.

Pas cool, surtout que les patchs des autres peuvent permettre de retrouver la faille et donc de l'exploiter. Golunski a donc décidé de publier les détails du 0day ainsi qu'un proof of concept, pour informer le public et probablement forcer un peu la main à Oracle.

Mais en attendant le 18 octobre, il est possible de contourner le problème en faisant en sorte que les fichiers de config de MySQL n'appartiennent pas à l'utilisateur mysql et créer un faux fichier de config my.cnf appartenant à root mais non utilisé. Ce n'est pas l'idéal, mais c'est mieux que rien !

Cet article merveilleux et sans aucun égal intitulé : Des failles 0day mettent à mal MySQL et il faudra patienter à poil dans la neige encore un mois avant d’avoir un correctif ; a été publié sur Korben, le seul site qui t'aime plus fort que tes parents.

Voir l'article complet