Удаленное завершение работы MySQL сервера 4.X/5.X + exploit.

Жестокая бага. Хостеры наверно на панике.

Не в панике, на массовых хостингах нет InnoDB.

хм, и толку от этого ? опять башорг в даун увести ? ... да и вообще MySQL легко увести в даун 1-2 запросами, в которых используются 3-4 таблицы ...

Артём, да вы труъ хакер - респект

ынтерпрайз субд - ынтерпрайз баги :)

> Артём, да вы труъ хакер - респект

Артем действительно труъ хакер, но я, к сожалению, видимо, не он :-) Я "просто разместил объяву" тут и вендорам :-)

InnoDB, да ещё и логин надо иметь, да и то получим всего лишь падение, а не взлом. Фигня, а не проблема.

Вовремя я перешел на PostgreSQL.

По теме - думаю, что пофиксают быстро.

> InnoDB, да ещё и логин надо иметь, да и то получим всего лишь падение,

> а не взлом. Фигня, а не проблема.

Не совсем фигня, конечно, но неприятно, когда, скажем, на каком-нибудь мастерхосте падает субд, которая обслуживает 300-400 хостов :-) Ведь одна чья-то база может быть в innodb (сам юзер может сконвертировать, это тривиальная задача) а у всех остальных myisam. Что будет со всеми остальными myisam при крэше mysqld? Правильно три-четыре часа работы myisamchk :-) Для массового вирт. хостинга - это кошмар.

По поводу значимости этого бага RedHat отписали так:

We have indeed verified that this flaw affects RHEL 4 and 5. We will likely be assigning this a severity of moderate. More information on this severity rating can be found here: http://www.redhat.com/security/updates/classification/

Let me know if you need more information.

Thanks, Josh

--

Josh Bressers // Red Hat Security Response Team

Т.е. moderate. На их языке это примерно так и есть: "очень хреново, но не смертельно".

>Артем действительно труъ хакер, но я, к сожалению, видимо, не он :-) Я "просто разместил объяву" тут и вендорам :-)

а из текста новости получается, что вы Артем. Хоть бы указали, кто дырку нашел ;)

А как там у них с ИИ в виде Falcon продвигается?

Ну и нафиг было это на свет вытаскивать? Ну написали бы ребятам из MySQL и вендорам. Нет, захотелось дешевой славы - раструбить какой я труъ хакер. Детский сад.

Выполнил укзанные запросы, конект прервался, но сервер продолжает работать. Что я делаю не так?

> Что я делаю не так?

Реконнект и обращение к базе?

> ыполнил укзанные запросы, конект прервался, но сервер продолжает

> работать. Что я делаю не так?

Смотри логи, возможно просто твоя init система рестартанула mysql. Так делается на многих дистрибутивах. Например на секурном annvix'е - http://annvix.org

это так к сведению, на виртуальном хостинге .m нету InnoDB

> Ну и нафиг было это на свет вытаскивать? Ну написали бы ребятам из

> MySQL и вендорам.

Таких как ты Линус, например, называет фашистами и по этой причине принципиально не подписан на лист рассылки vendor-sec. И всячески против него. Он верит в full-disclosure и не понимает идеи "избранных", которые знают о баге и являются зрячими в "стране слепых". Тут я полностью разделяю его точку зрения.

> это так к сведению, на виртуальном хостинге .m нету InnoDB

Нету взародыше? Т.е. юзер не может конвертнуть базы?

>Ну и нафиг было это на свет вытаскивать? Ну написали бы ребятам из MySQL и вендорам.

Таки в bugs.mysql.com уязвимость есть. Значит ребята и вендоры в курсе, а другие заинтересованные лица и так баглисты по пять раз в день читают.

А я таких как Линус, называю идиотами. У людей бизнес зависит от этих вещей, а тут какие-то засранцы начинают крутить пальцами. Вот написал бы сначала патч, а потом имел бы полное право открыть рот.

> Нету взародыше? Т.е. юзер не может конвертнуть базы?

конечно, ишь чего вздумали

> А я таких как Линус, называю идиотами. У людей бизнес зависит от этих вещей, а тут какие-то засранцы начинают крутить пальцами. Вот написал бы сначала патч, а потом имел бы полное право открыть рот.

ога, много ли людей строят свой бизнес на MySQL ?)

> А я таких как Линус, называю идиотами.

А моська лает на слона...

Что-то вспомнилось :-) Ничего личного :-)

Кстати, почему там сантехники не могли так долго выпустить патч от уязвимости в Sun(tm)OS(r) Telnet? :-) Недели три корячились. А описание уязвимости висело, тем временем :-)

> ога, много ли людей строят свой бизнес на MySQL ?)

Masterhost, Zenon, Peterhost, Hoster.ru, HighWay.ru, mail.ru, Yandex, Google... далее везде :-)

Очень много сайтов используют мускуль? Что тут удивительного? Надо сильно не дружить с головой публикуя новости про эксплоит на ЛОРе (что кстати запрещено правилами). К примеру, я не пойду крошить мускули по инету, культура и воспитание не позволят, но кто может ручаться за сотни красноглазых киддискриптеров, которые спят и видят как кому-нибудь напакостить.

Sun-ch, говорю тебе совершенно серьезно. Ты тупой дятел :-) Если ты веришь в security by obscurity - то ты тупой дятел * 2. Надо тогда запретить багзиллы, листы рассылки и вообще вслух говорить об уязвимостях :-) Ну ты и имбецил... Был немного лучшего мнения.

>Очень много сайтов используют мускуль? Что тут удивительного?
тупорылый, эта проблема касается только хостеров, т.к. только там юзерам могут выполнять DDL

Саныч - ум, честь и совесть ЛОРа ;)

>> ога, много ли людей строят свой бизнес на MySQL ?)

> Masterhost, Zenon, Peterhost, Hoster.ru, HighWay.ru, mail.ru, Yandex, Google... далее везде :-)

насколько знаю у mhost нету InnoDB ... остальных хостеров не видел ))) mail.ru - а ты сам с ними поработай, и узнаешь почему они могут его юзать, Yandex использует много всего, но не думаю, что кто-то использует его для каких-то критических данных, если ошибаюсь, то пусть меня поправять работники данной компании, Google вообще использует какую-то версию, перепатченную вдоль и поперек ... имхо, у них только синтаксис остался MySQL ... да и для критических данных MySQL у них тоже не используется )))

В спец. форумах и списках рассылки - сколько угодно, 90% идиотов их не читает. Но на главной странице ЛОРу - увольте.

MySQL 5.0.45, бага не подтверждаю

2phasma ещё раз.

На вопрос - много ли людей использует MySQL для бизнеса, отвечаю.

Много. Masterhost, Zenon, Peterhost, Hoster.ru, HighWay.ru, mail.ru, Yandex, Google.

Сюда же: Red Hat, Novell, Mandriva и проч и проч...

Все эти мостодонты используют MySQL _для_ _бизнеса_.

Ты чего сказать-то хотел? Какие InnoDB? Какие не для критических данных? Сходи на конференции типа HighLoad и послушай людей из того же яндекса и рамблера. Они подробно рассказывают о том, как и что они используют. Mysql и в яндексе и в google используется _в ключевых местах_.

Кто ещё использует MySQL для бизнеса? Получай: http://www.mysql.com/customers/

На "массовых" серверах включать InnoDB нет смысла, т.к. проще на отдельны юзеров скинуть заботу о блокировках таблиц и т.п., это экономит ресурсы сервера (читай - больше клиентов). Массово будет ломаться только у всяких злобных буратин.

> Но на главной странице ЛОРу - увольте.

Ты пойми одну простейшую вещь. Чем больше людей знает о баге безопасности, тем больше администраторов будет понимать, почему это у него в один прекрасный момент начало падать что-то, сможет принять превентивные локальные меры, самостоятельно что-то подправить, пока нет официального фикса. Кому надо что-то взломать - тот это взломает. Если же бага неизвестна - её будут эксплуатировать ещё больше, делать на ней деньги, но в этом случае подавляющее большинство админов не будет понимать, что происходит. Неужели ты настолько твердолоб, чтобы это понять?

>Кто ещё использует MySQL для бизнеса? Получай: http://www.mysql.com/customers/

:-) В подобных списках обычно не те кто ИСПОЛЬЗУЕТ а те кто когда либо использовали. Мне кажется что разумные люди таки переходят на постгрес там где можно.

> В спец. форумах и списках рассылки - сколько угодно, 90% идиотов их не читает.
Человек который спит и видит как нагадить, впервую очередь и будет читать "в спец. форумах и списках рассылки", а не на ЛОР.

> MySQL 5.0.45, бага не подтверждаю

Только что проверил на 5.0.45 - баг присутствует.

>В спец. форумах и списках рассылки - сколько угодно, 90% идиотов их не читает. Но на главной странице ЛОРу - увольте.

Что уже какой-то из этих идиотов успел тебя ЗаДДоСить? =)

> Мне кажется что разумные люди таки переходят на постгрес там где

> можно.

Я всегда знал, что яндекс и гугл - неразумны :-)

Пусть читает список рассылки, а публиковать ссылки на экплоит на публичном ресурсе, при отсутствии workaround - добавить лишней головной боли своим коллегам по админскому цеху.

> а публиковать ссылки на экплоит на публичном ресурсе, при отсутствии

> workaround - добавить лишней головной боли своим коллегам по

> админскому цеху.

Нет, это только в морг...

> Ты чего сказать-то хотел? Какие InnoDB? Какие не для критических данных? Сходи на конференции типа HighLoad и послушай людей из того же яндекса и рамблера.

и что они там говорят, как они купили новый сверхпроизводительный кластер и запустили на нем mysql что бы хранить информацию о биллинге ?) иль они используют mysql для хранения каких-то баз, которые занимают гигабайты ?)

> Mysql и в яндексе и в google используется _в ключевых местах_.

позволяет хранить промежуточные данные и выводить их через веб интерфейс ?)

> иль они используют mysql для хранения каких-то баз, которые занимают

> гигабайты ?)

Таки сходи или почитай материалы. Много интересного узнаешь, точно говорю :-) на rutube есть видеозаписи.

>Я всегда знал, что яндекс и гугл - неразумны :-)

У них информация несколько иного плана, да и ты таки утверждаешь что они юзают онли мускул и все, другие бд - нини ? Слабо в это верю и вовсе даже нет.

Хранить инфу о бабках на счетах клиентов, опсосовский или иной биллинг это одно, а кусок говна взятый из паутины (где он все равно есть) - другое. Имхо.

> Ты чего сказать-то хотел? Какие InnoDB? Какие не для критических данных? Сходи на конференции типа HighLoad и послушай людей из того же яндекса и рамблера. Они подробно рассказывают о том, как и что они используют. Mysql и в яндексе и в google используется _в ключевых местах_.

Ну так что с InnoDB? Они его используют? Если да, то получается они ещё за него и заплатили?

> Таки сходи или почитай материалы. Много интересного узнаешь, точно говорю :-) на rutube есть видеозаписи.

да придется идти на след. год, отправят же "поднимать квалификацию" ) а так, наблюдая поведение сервера, на котором стоит MySQL .. все это дело оптимизировано под высочайшие нагрузки, а он сцуко жерт 2 Гб оперативной памяти когда база там всего 300-400 Мб, ну и запросы идут в основном к кэшу веб-сервера ...

> А я таких как Линус, называю идиотами. У людей бизнес зависит от этих вещей, а тут какие-то засранцы начинают крутить пальцами. Вот написал бы сначала патч, а потом имел бы полное право открыть рот.

Это позиция приведет к тому, что любого нашедшего баг будут сразу ставить к стенке, а то мало ли кому он сообщит, тому , не тому... расстрелять - и нет проблемы. У людей же бизнес, памаешь.

Тем более подобные прецеденты с Циско уже были,

> Ведь одна чья-то база может быть в innodb (сам юзер может сконвертировать, это тривиальная задача)

Это шутка, да? Типа админ не заметил? :) Чего он там и куда сконвертит при skip-innodb в my.cnf? Который все вменяемые люди туда ставят, если не собираются InnoDB использовать. У меня во всяком случае на всех серверах оно там есть, как там у Мастерхоста не знаю, но сдаётся мне, что тоже.

> Ну так что с InnoDB? Они его используют? Если да, то получается они ещё за него и заплатили?

наверно использует ) mail.ru )

> наверно использует ) mail.ru )

Хм, и заплатили за него? А все остальные в списке истеричного анонимуса? Насколько я знаю, не особо.