S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 15 octobre 2004
N° CERTA-2004-AVI-347
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités dans MySQL

Gestion du document

Référence CERTA-2004-AVI-347
Titre Vulnérabilités dans MySQL
Date de la première version15 octobre 2004
Date de la dernière version20 décembre 2004
Source(s) Bulletins de sécurité Mysql
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à la confidentialité des données
  • Déni de service
  • Élévation de privilèges

Systèmes affectés

  • MySQL 3.x ;
  • MySQL 4.x.

Résumé

Deux vulnérabilités présentes sur le gestionnaire de base de données MySQL permettent à un utilisateur mal intentioné de réaliser un déni de service ou d'élever ses privilèges sur le gestionnaire de base de données vulnérable.

Description

  • Une vulnérabilité dans les requêtes SQL (Standard Query Language) de type « ALTER TABLE ... RENAME » permet à un utilisateur mal intentionné d'élever ses privilèges et d'accèder à des informations confidentielles.
  • Une seconde vulnérabilité permet à un utilisateur mal intentionné de réaliser un déni de service, via l'envoi de plusieurs requêtes SQL de type « ALTER ».

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Les versions 3.23.59 et 4.0.21 corrigent ces vulnérabilités.

Documentation

Gestion détaillée du document

    le 15 octobre 2004
    version initiale.
    le 22 octobre 2004
    ajout du bulletin de sécurité redhat.
    le 05 novembre 2004
    ajout des références aux bulletins de sécurité Mandrake et Gentoo.
    le 25 novembre 2004
    ajout des références aux bulletins de sécurité SUSE, Debian, RedHat et ajout de la référence CVE CAN-2004-0836.
    le 20 décembre 2004
    ajout de la référence aux bulletins de sécurité FreeBSD du 16 décembre 2004.