Показано с 1 по 1 из 1.

Фундаментальная уязвимость обнаружена в MS SQL Server, MySQL и PostgreSQL

  1. #1
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для ALEX(XX)
    Регистрация
    31.03.2005
    Адрес
    Чернигов
    Сообщений
    10,777
    Вес репутации
    3704

    Фундаментальная уязвимость обнаружена в MS SQL Server, MySQL и PostgreSQL

    Разработчик популярного среди ИТ-администраторов программного средства SQLMap Бернардо Гаимараес говорит, что ему удалось обнаружить фундаментальную уязвимость в базах данных MS SQL Server, MySQL и PostreSQL, эксплуатация которой способна привести не только в получению контроля над самой базой данных, но и операционной системой, в которой эта БД работает. Конкретные подробности своей находки Гаимараес намерен представить в середине апреля на ИТ-конференции Black Hat в Амстредаме. Сейчас исследователь говорит, что обнаруженная им уязвимость может быть задействована при проведении атаки типа SQL-инъекция. SQL-инъекция или, говоря иначе внедрение SQL-кода, на сегодня является одним из распространённых способов взлома сайтов и программ, работающих с базами данных, основанный на внедрении в запрос произвольного SQL-кода. Внедрение SQL, в зависимости от типа используемой СУБД и условий внедрения, может дать возможность атакующему выполнить произвольный запрос к базе данных (например, прочитать содержимое любых таблиц, удалить, изменить или добавить данные), получить возможность чтения и/или записи локальных файлов и выполнения произвольных команд на атакуемом сервере. В большинстве случаев атака типа внедрения SQL может быть возможна из-за некорректной обработки входящих данных, используемых в SQL-запросах. Однако в случае разработки Гаимараеса, одновременно с внедрением SQL-кода происходит также и переполнение буфера обмена базы данных, что позволяет провести дальнейшую атаку на операционную систему. Проведение атаки для SQL Server и для Mysql/PostgreSQL несколько различаются, но эффект в каждом случае один и тот же - полный захват контроля над сервером баз данных. "Я использовал SQL-инъекцию только как одну из ступеней для достижения своей цели, которая заключалась в получении контроля над серверной операционной системой. Для подготовки к этой атаке была проведена большая работа, связанная с манипулированием и фильтрацией данных", - говорит он. По его словам, предварительные данные показывают, что новой атаке подвержены "слишком много" сайтов, поэтому раскрывать данные о ней сейчас было бы чересчур опасно. По оценкам Гаимараеса, из всех сайтов, работающих на базе SQL Server/MySQL/PostgreSQL, примерно 10% подвержены данной атаке. Сейчас для того, чтобы минимизировать угрозу атаки эксперт рекомендует проверить безопасность веб-приложений, а также по возможности сократить число пользовательских записей, авторизовавшись по которым, можно работать с базами данных.
    Источник

    uinc.ru
    Left home for a few days and look what happens...

  2. Реклама
     

Похожие темы

  1. Обнаружена Уязвимость
    От Vlad123123 в разделе Помогите!
    Ответов: 3
    Последнее сообщение: 01.08.2012, 11:11
  2. GreenSQL 1.2 — firewall для СУБД MySQL и PostgreSQL
    От ALEX(XX) в разделе Новости компьютерной безопасности
    Ответов: 0
    Последнее сообщение: 07.12.2009, 22:12
  3. В ПО DNS Bind обнаружена уязвимость
    От ALEX(XX) в разделе Новости компьютерной безопасности
    Ответов: 0
    Последнее сообщение: 25.11.2009, 13:24
  4. На Facebook обнаружена XSS-уязвимость
    От ALEX(XX) в разделе Новости компьютерной безопасности
    Ответов: 0
    Последнее сообщение: 27.05.2008, 19:37
  5. Уязвимость при обработке IF запросов в MySQL
    От ALEX(XX) в разделе Уязвимости
    Ответов: 0
    Последнее сообщение: 10.05.2007, 20:29

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00612 seconds with 18 queries