Wenn man es nur lange genug probiert, akzeptieren die Datenbankserver MySQL und MariaDB in bestimmten Konfigurationen jedes Passwort. Wie der MariaDB-Sicherheitskoordinator Sergei Golubchik auf der Mailingliste oss-sec bekanntgegeben hat, liegt die Erfolgswahrscheinlichkeit bei 1 aus 256.

Ein Angreifer kann innerhalb kürzester Zeit die Kontrolle über verwundbare Installationen übernehmen, da mehrere hundert Versuche pro Sekunde möglich sind. Zwar muss er einen gültigen Benutzernamen kennen, jedoch ist die Wahrscheinlichkeit hoch, dass ein "root" existiert.

Bei der Anmeldung vergleicht der Datenbankserver den gespeicherten Hash-Wert mit dem des gerade eingegebenen Passworts. Durch eine implizite Typumwandlung von einem vorzeichenbehafteten Character in einen Integer kann das ergeben, dass die Werte gleich wären. Wenn der Rückgabewert außerhalb des Intervalls zwischen -128 und 127 liegt, tritt dies auf.

Alle MySQL- und MariaDB-Versionen bis einschließlich 5.1.61, 5.2.11, 5.3.5 und 5.5.22 sind laut Golubchik theoretisch verwundbar, wenn sie mit bestimmten Optionen kompiliert wurden. Die von den Herstellern angebotenen Binaries sind nach bisherigem Kenntnisstand nicht verwundbar. Unklar ist noch, ob die mit Distributionen ausgelieferten Versionen betroffen sind.

(ez, hannover)

(siehe auch Heise News-Ticker :)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE