Avis du CERT-FR
Objet : Vulnérabilité de MySQL
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Atteinte à l'intégrité des données
Systèmes affectés
Serveur de bases de données MySQL.
Résumé
Une vulnérabilité dans le serveur de bases de données MySQL permet à un utilisateur mal intentionné d'écraser des fichiers arbitraires.
Description
Le script mysqlaccess du serveur de bases de données MySQL crée des fichiers temporaires avec des noms prévisibles.
Un utilisateur mal intentionné peut exploiter cette vulnérabilité via des liens symboliques pour écraser un fichier arbitraire du système.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Mandrake MDKSA-2005:036
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2005:036 -
Bulletin de sécurité Debian DSA-647 du 19 janvier 2005 :
http://www.debian.org/security/2005/dsa-647 -
Bulletin de sécurité FreeBSD pour mysql-scripts du 16 janvier 2005 :
http://www.vuxml.org/freebsd/ -
Bulletin de sécurité Gentoo GLSA 200501-33 du 23 janvier 2005 :
http://www.gentoo.org/security/en/glsa/glsa-200501-33.xml -
Bulletin de sécurité OpenBSD pour mysql-server du 19 janvier 2005 :
http://www.vuxml.org/openbsd/ -
Site Internet de MySQL :
http://www.mysql.com
Gestion détaillée du document
| Date | Description |
|---|---|
| 15 février 2005 | version initiale. |
| 18 février 2005 | ajout du site Internet de MySQL et de la référence CVE CAN-2005-0004 et correction des liens FreeBSD et OpenBSD. |