S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 16 septembre 2003
N° CERTA-2003-AVI-151
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité du serveur de base de données MySQL

Gestion du document

Référence CERTA-2003-AVI-151
Titre Vulnérabilité du serveur de base de données MySQL
Date de la première version16 septembre 2003
Date de la dernière version10 octobre 2003
Source(s) Bulletin de sécurité 200309-08 de Gentoo
Bulletin de sécurité DSA-381 de Debian
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Élévation de privilèges

Systèmes affectés

  • MySQL versions 3.23.57 et antérieures ;
  • MySQL versions 4.0.14 et antérieures.

Description

Une vulnérabilité est présente dans une routine de contrôle des mots de passe.

Un utilisateur légitime de MySQL possédant le droit d'administration ALTER sur la table mysql.user peut exploiter cette vulnérabilité afin d'exécuter du code arbitraire sur la plate-forme hébergeant le serveur MySQL avec les privilèges du processus mysqld.

Solution

Les versions 3.23.58 et 4.0.15 de MySQL corrigent cette vulnérabilité :

  • Annonce MySQL 4.0.15 :

    http://lists.mysql.com/announce/168

  • Annonce MySQL 3.23.58 :

    http://www.mysql.com/doc/en/News-3.23.58.html

Documentation

Gestion détaillée du document

    le 16 septembre 2003
    version initiale.
    le 02 octobre 2003
    ajout références aux bulletins de SuSE et Mandrake.
    le 10 octobre 2003
    ajout références aux bulletins de Red Hat.