S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 16 septembre 2003
N° CERTA-2003-AVI-151-002
Affaire suivie par: CERT-FR
le 16 septembre 2003

Avis du CERT-FR

Objet: Vulnérabilité du serveur de base de données MySQL

Gestion du document

Référence CERTA-2003-AVI-151-002
Titre Vulnérabilité du serveur de base de données MySQL
Date de la première version 16 septembre 2003
Date de la dernière version 10 octobre 2003
Source(s) Bulletin de sécurité DSA-381 de Debian
Bulletin de sécurité 200309-08 de Gentoo
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Elévation de privilèges.

Systèmes affectés

  • MySQL versions 3.23.57 et antérieures ;
  • MySQL versions 4.0.14 et antérieures.

Description

Une vulnérabilité est présente dans une routine de contrôle des mots de passe.


Un utilisateur légitime de MySQL possédant le droit d'administration ALTER sur la table mysql.user peut exploiter cette vulnérabilité afin d'exécuter du code arbitraire sur la plate-forme hébergeant le serveur MySQL avec les privilèges du processus mysqld.

Solution

Les versions 3.23.58 et 4.0.15 de MySQL corrigent cette vulnérabilité :

Documentation

Gestion détaillée du document

    le 16 septembre 2003
    version initiale.
    le 02 octobre 2003
    ajout références aux bulletins de SuSE et Mandrake.
    le 10 octobre 2003
    ajout références aux bulletins de Red Hat.