Alerta de Segurança Debian

DSA-707-1 mysql -- várias vulnerabilidades

Data do Alerta:
13 Abr 2005
Pacotes Afetados:
mysql
Vulnerável:
Sim
Referência à base de dados de segurança:
No sistema de acompanhamento de bugs do Debian: Bug 285276, Bug 296674, Bug 300158.
Na base de dados do BugTraq (na SecurityFocus): ID BugTraq 12781.
No dicionário CVE do Mitre: CVE-2004-0957, CVE-2005-0709, CVE-2005-0710, CVE-2005-0711.
Informações adicionais:

Várias vulnerabilidades foram descobertas no MySQL, um banco de dados popular. O Common Vulnerabilities and Exposures project identificou os seguintes problemas:

  • CAN-2004-0957

    Sergei Golubchik descobriu um problema ao lidar com o acesso a bancos de dados com nomes similares. Se um usuário tem privilégios em um banco de dados cujo nome contêm underline ("_"), o usuário ganha privilégios em outros bancos de dados com nomes similares.

  • CAN-2005-0709

    Stefano Di Paola descobriu que o MySQL permite que usuários autenticados remotamente com os privilégios INSERT e DELETE executem código arbitrário usando CREATE FUNCTION para acessar chamdas da libc.

  • CAN-2005-0710

    Stefano Di Paola descobriu que o MySQL permite que usuários autenticados remotamente com os privilégios INSERT e DELETE passem pelas restrições de path de bibliotecas e executem bibliotecas arbitrárias usando INSERT INTO para modificar a tabela mysql.func.

  • CAN-2005-0711

    Stefano Di Paola descobriu que o MySQL usar nomes de arquivos previsíveis para criar tabelas temporárias, permitindo a usuários locais com privilégios CREATE TEMPORARY TABLE sobrescreverem arquivos arbitrários através de um ataque por link simbólico.

Na distribuição estável (woody), estes problemas foram corrigidos na versão 3.23.49-8.11.

Na distribuição instável (sid), estes problemas foram corrigidos na versão 4.0.24-5 do pacote mysql-dfsg e na versão 4.1.10a-6 do pacote mysql-dfsg-4.1.

Nós recomendamos que você autalize seus pacotes mysql.

Corrigido em:

Debian GNU/Linux 3.0 (woody)

Fonte:
http://security.debian.org/pool/updates/main/m/mysql/mysql_3.23.49-8.11.dsc
http://security.debian.org/pool/updates/main/m/mysql/mysql_3.23.49-8.11.diff.gz
http://security.debian.org/pool/updates/main/m/mysql/mysql_3.23.49.orig.tar.gz
Componente independente de arquitetura:
http://security.debian.org/pool/updates/main/m/mysql/mysql-common_3.23.49-8.11_all.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-doc_3.23.49-8.5_all.deb
Alpha:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_alpha.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_alpha.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_alpha.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_arm.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_arm.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_arm.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_i386.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_i386.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_i386.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_ia64.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_ia64.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_ia64.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_hppa.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_hppa.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_hppa.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_m68k.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_m68k.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_m68k.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_mips.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_mips.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_mips.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_mipsel.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_mipsel.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_mipsel.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_powerpc.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_powerpc.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_powerpc.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_s390.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_s390.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_s390.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10_3.23.49-8.11_sparc.deb
http://security.debian.org/pool/updates/main/m/mysql/libmysqlclient10-dev_3.23.49-8.11_sparc.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-client_3.23.49-8.11_sparc.deb
http://security.debian.org/pool/updates/main/m/mysql/mysql-server_3.23.49-8.11_sparc.deb

Checksums MD5 dos arquivos listados estão disponíveis no alerta original.