Ohne Kommandozeilenzugang uninteresant?

[JohnRanger]

Sicherheitslücke gut und schön. Aber wieso sollte IRGENDJEMAND bis auf den Admin Kommandozeilenzugang beim Datenbanksystem haben?

Wenn es soweit ist, ist eh alles zu spät?

[c3rl]

Ich glaub du hast das Problem falsch verstanden. Die Meldung besagt, dass man sich mit simpelstem Bruteforcing Zugang auch zum MySQL-root-User holen kann. Das heißt, man hat komplette Kontrolle über den MySQL-Server, kann ALLE Daten lesen, verändern, löschen.

Edit: Falls du meintest, dass man eine Sitzung z.B. per SSH auf dem Server braucht... nicht immer. MySQL kann auch Verbindungen per TCP/IP akzeptieren, z.B. von außerhalb des Servers.



1 mal bearbeitet, zuletzt am 11.06.12 18:51 durch c3rl.

[Lala Satalin Deviluke]

Wenn man es richtig absichert, sieht eine MySQL-Datenbank so aus:

- Verbindungen werden nur von dem Webserver akzeptiert
- Es gibt keinen SSH-Zugang von außerhalb ohne gesichertes VPN mit Token

Fertig.

Grüße vom Planeten Deviluke!

[nicoledos]

und dummerweise läuft auf dem Webserver ein CMS mit einem addon, welches es einem angreifer ermöglicht fremden code auszuführen und so die kontrolle über mysql zu erlangen.

[.02 Cents]

Ack - was der Kollege Vorposter da vorschlägt ist nichts weiter als eine Instanz des Prinzips Security by Obscurity.

[Lala Satalin Deviluke]

Das ist dann aber wieder keine Lücke in MySQL sondern im CMS. Wenn man SQL-Injection nicht vorbeugt ist man selber schuld.

Grüße vom Planeten Deviluke!