Mehrere Linux-Distributoren stellen Updates für die Open-Source-Datenbank MySQL bereit. Sie beseitigen einen Fehler, durch den sich möglicherweise aus dem Netz eingeschleuster Code mit den Rechten des Dienstes ausführen lässt. Um den Pufferüberlauf auszulösen, muss der benutzte Zugang allerdings die Berechtigung zum Anlegen neuer Funktionen haben.
Der Fehler wird einmal mehr durch Zeichenpuffer fester Größe verursacht. Dieser lässt sich aus dem Netz mit überlangen Inhalten überschreiben. Dies ist besonders im Zusammenspiel mit fehlerhafter Software relevant, die MySQL als Back-End einsetzt — hier könnten Berechtigungen zum Anlegen benutzerdefinierter Funktionen vorliegen.
Die MySQL-Entwickler haben die Lücke bereits vor einiger Zeit stillschweigend behoben. Versionen ab 4.0.25, 4.1.13 und der Beta 5.0.7 der Datenbank enthalten den Fehler nicht mehr. Am 8. August veröffentlichten die Entdecker von Application Security ein Advisory, stuften das Problem aber nicht als kritisch ein. Allerdings haben mittlerweile diverse Sicherheitsdatenbanken wie Securityfocus den Fehler auf kritisch hochgestuft. Nun folgen die fälligen Updates der Distributoren, Mandriva und Ubuntu eröffnen den Reigen.
Hinterlasse jetzt einen Kommentar