The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Связанная с SSL-шифрованием уязвимость в клиентской библиотеке MySQL и MariaDB

06.05.2015 09:54

В библиотеке libmysqlclient, используемой для подключения к СУБД MySQL, MariaDB и Percona Server, выявлена уязвимость (CVE-2015-3152), позволяющая обойти создание шифрованного канала связи и организовать MITM-атаку между клиентом и СУБД. Проблема связана с тем, что при активации в настройках установки соединения с использованием SSL, если такое соединение не удалось установить, то канал связи всё равно устанавливается, но без применения шифрования. Подобное поведение является документированным, оно было изменено в ветке MySQL 5.7, но продолжает применяться в ветках MySQL 5.5 и 5.6.

Проблема была устранена в кодовой базе MySQL 5.7.3 ещё в декабре 2013 года, но не была причислена к категории уязвимостей, поэтому остаётся неисправленной в ветках MySQL 5.5/5.6, а также во всех выпусках MariaDB и Percona Server. При этом, в MariaDB поставляется несколько связующих клиентских библиотек, из которых уязвимы libmysqlclient и Connector/C, в то время как модули Connector/J и Connector/ODBC не подвержены проблеме.

  1. Главная ссылка к новости (https://blog.mariadb.org/infor...)
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/42173-mysql
Ключевые слова: mysql, database, ssl
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (22) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (-), 10:12, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    вот те раз
     
  • 1.2, YetAnotherOnanym (ok), 10:15, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +9 +/
    "Выявлена" - это в смысле "нашёлся один нормальный человек, который прочёл документацию, вознегодовал и начал бить в набат"?
     
     
  • 2.17, ACCA (ok), 17:56, 06/05/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Ни разу не смешно.

    Весь раздел документации MySQL про SSL писан индусами, которые не отличают сертификат CA от сертификата ключа. А чтобы этот бардак хоть как-то заработал, в документации же командуют неявно отключить SSL.

    Сверх того PHP-шники насильно отключают проверку сертификата ключа сервера. Чтобы не ставить дополнительный пакет корневых сертификатов CA.

     

  • 1.3, Аноним (-), 10:28, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    сто раз видел ошибку соединения, если сертификат просрочен. Так как это не работает? Версия 5.5
     
  • 1.4, vitalif (ok), 10:59, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    Ну так нефиг ставить MySQL голой (прикрытой SSL, но всё равно же голой!) жопой в интернет )))
     
  • 1.5, Fidel Castro (?), 11:13, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    разве можно назвать багом то, что работает так как задуманно?
     
  • 1.6, Аноним (-), 11:26, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Вы шооо, это стиль MySQL, пора к нему привыкнуть. Там всё работает так, как задумано - либо никак, либо без всякой логики, и пора к этому привыкнуть.
     
  • 1.7, Аноним (-), 11:29, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    В MySQL больше исключений из правил, чем правил. Это одно из них. При том лежит на поверхности - описано в доках. Если копнуть вглубь, то можно найти сотни мест с неожиданным недокументированным поведением.
     
  • 1.8, Товарищ Майор (?), 12:38, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    таки не баг, а фича.
     
     
  • 2.9, Michael Shigorin (ok), 13:11, 06/05/2015 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > таки не баг, а фича.

    Да уж... http://getlevelten.com/sites/default/files/styles/large/public/inline-images/

     

  • 1.10, Crazy Alex (ok), 13:56, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А зачем ему вообще SSL? Если не через свою сеть гонять данные - нормальные люди VPN поднимают.
     
     
  • 2.11, Аноним (-), 14:47, 06/05/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Присоединяюсь, каждый должен заниматься своим делом. Безопастное соединение это не функция СУБД
     
  • 2.13, Cuernud (?), 17:11, 06/05/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > А зачем ему вообще SSL? Если не через свою сеть гонять данные
    > - нормальные люди VPN поднимают.

    А через свою открытым текстом типа можно гонять?
    Городить что-то специально для работы с БД в случае десятков и сотен удалённых клиентов в корпоративной сети может оказаться большой морокой.
    Я-то себе пробрасываю порт по SSH, но мне только в целях администрирования.

     
     
  • 3.15, cmp (ok), 17:41, 06/05/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Городить что-то специально для работы с БД в случае десятков и сотен

    У вас сотни клиентов sql запосы шлют прямо в БД? или открывают вэбморду через ssl и вносят/меняют данные из форм, чего городить? все уже давно нагороженно бери да пользуйся.

     
     
  • 4.21, Cuernud (?), 08:30, 07/05/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Если не знаете вообще о чём речь, не стоит лезть с комментариями.
     
     
  • 5.22, cmp (ok), 10:02, 07/05/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Если не знаете вообще о чём речь, не стоит лезть с комментариями.

    Вот эта новость - яркий пример того, что нативные средства защиты бд от внешних угроз даже разработчиками воспринимаются как бонус, качаство которого никто не гарантирует, и который реализован скорее для галочки, чтобы было чем рекламный проспект наполнить. И подавляющее большенство людей это понимает и НЕ открывает доступ из диких сетей к базам.

    Я прекрасно понимаю о чем говорю, и поэтому для диких сетей использую только проверенных "бойцов", таких как ssh и ssl, да последний не так давно обмочился, но на этот случай есть 2й эшелон защиты, который как минимум выигрывает время для вмешательства, в конце концов мне зарплату платят в том числе и за это.

    А вы, по факту, жалуетесь на то, что чехольчик телефона, который вам в магазине подарили при покупке телефона - порвался, криво построили сеть и наивно положились на рекламный проспектик, в котором написанно - ssl, вместо того, что бы прочесть документацию как минимум, так что не надо мне рассказывать о том, чего я знаю, и том, что мне делать.

    Ваша ошибка очевидна.

     
  • 3.16, cmp (ok), 17:53, 06/05/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > А через свою открытым текстом типа можно гонять?

    Ну если вы жене не доверяете, то вы плохой муж, иначе вы в достаточной степени осведомленны о том, что у вас в сети творится и способны организовать защищенный сегмент.

     
  • 2.14, cmp (ok), 17:28, 06/05/2015 [^] [^^] [^^^] [ответить]  
  • +/
    Тоже соглашусь, мне в моих сетях это шифрование нафиг не упало, только серверную греет, а открывать любой sql на внешку это черевато ддосом как минимум, вообще нормальные базы крутятся в защищенных сегментах защищенных корп сетей, слить данные почти не реально, сливают конечно, но как правило ломанув какой-нить ноут какого-нить лопушка который работал по удаленки и докуда рученки корпбезопасности не могут дотянуться по определению, а все до чего могут дотянуться регулярно сканируется и сверяется с реестром разрешенного, поэтому всю нелегальщину приходится прятать очень глубоко и надежно.
     

  • 1.12, Аноним (-), 15:56, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Не зря я всегда тупо прокидывал порт.
     
  • 1.18, arisu (ok), 18:04, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    идиоты, выставляющие сервер БД напрямую в интернеты, не вымерли ещё? воистину, господь ненавидит идиотов и не хочет забирать их к себе.
     
  • 1.19, Аноним (19), 18:51, 06/05/2015 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Постгрес наше всё ;-)
     
     
  • 2.20, Аноним (-), 22:37, 06/05/2015 [^] [^^] [^^^] [ответить]  
  • +/
    > Постгрес наше всё ;-)

    Ваш пост огорчает мальчиков, лепящих сайты за еду на LAMP'овых хостингах.

     
     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру