S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 15 octobre 2004
N° CERTA-2004-AVI-347-004
Affaire suivie par: CERT-FR
le 15 octobre 2004

Avis du CERT-FR

Objet: Vulnérabilités dans MySQL

Gestion du document

Référence CERTA-2004-AVI-347-004
Titre Vulnérabilités dans MySQL
Date de la première version 15 octobre 2004
Date de la dernière version 20 décembre 2004
Source(s) Bulletins de sécurité Mysql
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Déni de service ;
  • élévation de privilèges ;
  • atteinte à la confidentialité des données.

Systèmes affectés

  • MySQL 3.x ;
  • MySQL 4.x.

Résumé

Deux vulnérabilités présentes sur le gestionnaire de base de données MySQL permettent à un utilisateur mal intentioné de réaliser un déni de service ou d'élever ses privilèges sur le gestionnaire de base de données vulnérable.

Description

  • Une vulnérabilité dans les requêtes SQL (Standard Query Language) de type « ALTER TABLE ... RENAME » permet à un utilisateur mal intentionné d'élever ses privilèges et d'accèder à des informations confidentielles.
  • Une seconde vulnérabilité permet à un utilisateur mal intentionné de réaliser un déni de service, via l'envoi de plusieurs requêtes SQL de type « ALTER ».

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Les versions 3.23.59 et 4.0.21 corrigent ces vulnérabilités.

Documentation

Gestion détaillée du document

    le 15 octobre 2004
    version initiale.
    le 22 octobre 2004
    ajout du bulletin de sécurité redhat.
    le 05 novembre 2004
    ajout des références aux bulletins de sécurité Mandrake et Gentoo.
    le 25 novembre 2004
    ajout des références aux bulletins de sécurité SUSE, Debian, RedHat et ajout de la référence CVE CAN-2004-0836.
    le 20 décembre 2004
    ajout de la référence aux bulletins de sécurité FreeBSD du 16 décembre 2004.