[sisyphus] mysql buffer overflow

[sisyphus] mysql buffer overflow

[Герасимов Дмитрий]

Приветствую!
Народ, а как у нас с последней дыркой в mysql? Дырка-то remote. :-(
Имеется ввиду вот этот документ -
http://www.securityfocus.com/archive/1/337012

с уважением, Димка Герасимов

Re: [sisyphus] mysql buffer overflow

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 693 bytes --]

On Tue, Sep 16, 2003 at 10:14:29AM +0400, Герасимов Дмитрий wrote:
> Приветствую!
> Народ, а как у нас с последней дыркой в mysql? Дырка-то remote. :-(
> Имеется ввиду вот этот документ -
> http://www.securityfocus.com/archive/1/337012

По независящим от ALT Security Team причинам организационного характера
выпуск этого и нескольких других обновлений задерживается.

Что касается этой конкретной уязвимости, то она не представляет большой
угрозы, ибо privilege escalation в данном случае сведена к минимуму:
администратор базы данных (пользователь с правами ALTER на таблицу
mysql.user) может исполнять любой код с правами псевдопользователя mysql в
chroot jail'е /var/lib/mysql/.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] mysql buffer overflow

[Dmitry Derjavin]

"Dmitry V. Levin" <ldv@altlinux.org> writes:

>> http://www.securityfocus.com/archive/1/337012
>
> По независящим от ALT Security Team причинам организационного характера
> выпуск этого и нескольких других обновлений задерживается.
>
> Что касается этой конкретной уязвимости, то она не представляет большой
> угрозы, ибо privilege escalation в данном случае сведена к минимуму:
> администратор базы данных (пользователь с правами ALTER на таблицу
> mysql.user) может исполнять любой код с правами псевдопользователя mysql в
> chroot jail'е /var/lib/mysql/.

Прекрасный ответ. Хотелось бы видеть такие ответы не только здесь, но и в
security-announce@altlinux.ru сразу после публикации сообщений об
ошибках. Даже если нет необходимости или возможности для немедленного
выпуска обновлений, хочется получить официальный комментарий ALT
Security Team. Сейчас иногда возникает ощущение, что ALT Security Team не
очень внимательно следит за выпуском обновлений, связанных с безопасностью.

-- 
~dd

Re: [sisyphus] mysql buffer overflow

[Maxim.Savrilov]

[-- Attachment #1: Type: text/plain, Size: 905 bytes --]

On Wed, 17 Sep 2003 13:27:56 +1100
Dmitry Derjavin <dd@farpost.com> wrote:

> 
> Прекрасный ответ. Хотелось бы видеть такие ответы не только здесь, но и в
> security-announce@altlinux.ru сразу после публикации сообщений об
> ошибках. Даже если нет необходимости или возможности для немедленного
> выпуска обновлений, хочется получить официальный комментарий ALT
> Security Team. Сейчас иногда возникает ощущение, что ALT Security Team не
> очень внимательно следит за выпуском обновлений, связанных с безопасностью.

Скажем так, последние обновления появлялись позднее, чем в Debian, но раньше, чем
в Slackware ;)

ИМХО, просто на оригинальные тарболлы в Альте накатывается такое количество патчей,
что ошибки, обнаруженные в оригиналах часто отсутствуют в пакетах

P.S. еще бы в оригинальные ядра Linus положил grsecurity patch, ваще счастье было бы

-- 
Don't tell anyone I'm free.

[-- Attachment #2: Type: application/pgp-signature, Size: 307 bytes --]

Re: [sisyphus] mysql buffer overflow

[Dmitry Derjavin]

Maxim.Savrilov@socenter.ru writes:

>> Прекрасный ответ. Хотелось бы видеть такие ответы не только здесь, но и в
>> security-announce@altlinux.ru сразу после публикации сообщений об
>> ошибках. Даже если нет необходимости или возможности для немедленного
>> выпуска обновлений, хочется получить официальный комментарий ALT
>> Security Team. Сейчас иногда возникает ощущение, что ALT Security Team не
>> очень внимательно следит за выпуском обновлений, связанных с безопасностью.
>
> ИМХО, просто на оригинальные тарболлы в Альте накатывается такое количество патчей,
> что ошибки, обнаруженные в оригиналах часто отсутствуют в пакетах

Думаю, что даже в таком случае ALT Security Team стоило бы немедленно
как-нибудь отреагировать официально. Вот, по-моему, хорошие примеры:
http://www.altlinux.ru/pipermail/security-announce/2001-March/000000.html
http://www.altlinux.ru/pipermail/security-announce/2001-March/000001.html

Сразу чувствуется внимание, забота. ;)

-- 
~dd

[sisyphus] Re: mysql buffer overflow

[Konstantin A. Lepikhov]

Hi!

Wed 17, 10:18:33 +0700, Maxim.Savrilov@socenter.ru(Maxim.Savrilov@socenter.ru) wrote:

<skip>
<flame>
> P.S. еще бы в оригинальные ядра Linus положил grsecurity patch, ваще счастье было бы
> 
может лучше owl? :)
</flame>

PS Поосторожнее с высказываниями :)

-- 
WBR, Konstantin A. Lepikhov

ELKATEL ISP Network Administrator
Tel./Fax: +7(095)7029116
				   http://www.elkatel.ru
--------------------------------------------------------
	...The information is like the bank... (c) EC8OR

[sisyphus] Re: mysql buffer overflow

[Denis Smirnov]

On Wed, Sep 17, 2003 at 12:22:25PM +0400, Konstantin A. Lepikhov wrote:

> может лучше owl? :)

/me очень хочет RSBAC в дистрибутиве, ну очень хочет

-- 
С уважением, Денис

http://freesource.info

Re: [sisyphus] Re: mysql buffer overflow

[Maxim Tyurin]

On Wed, Sep 17, 2003 at 04:17:28PM +0400, Denis Smirnov wrote:
> On Wed, Sep 17, 2003 at 12:22:25PM +0400, Konstantin A. Lepikhov wrote:
> 
> > может лучше owl? :)
> 
> /me очень хочет RSBAC в дистрибутиве, ну очень хочет

Ты не одинок :)
Обещают... Потом...
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
			

[sisyphus] Re: mysql buffer overflow

[Denis Smirnov]

On Wed, Sep 17, 2003 at 03:53:33PM +0300, Maxim Tyurin wrote:

>>> может лучше owl? :)
>> /me очень хочет RSBAC в дистрибутиве, ну очень хочет
> Ты не одинок :)
> Обещают... Потом...

Ждём... :)

-- 
С уважением, Денис

http://freesource.info

Re: [sisyphus] Re: mysql buffer overflow

[Stanislav Ievlev]

On Wed, Sep 17, 2003 at 03:53:33PM +0300, Maxim Tyurin wrote:
> On Wed, Sep 17, 2003 at 04:17:28PM +0400, Denis Smirnov wrote:
> > On Wed, Sep 17, 2003 at 12:22:25PM +0400, Konstantin A. Lepikhov wrote:
> > 
> > > может лучше owl? :)
> > 
> > /me очень хочет RSBAC в дистрибутиве, ну очень хочет
> 
> Ты не одинок :)
> Обещают... Потом...
> -- 
И я хочу ... но не могу разорваться на несколько частей :(
Вот если бы кто взялся сделать kernel-feat-rsbac я бы помог.
> 
> With Best Regards, Maxim Tyurin
> JID:	MrKooll@jabber.pibhe.com
> 			
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@altlinux.ru
> http://altlinux.ru/mailman/listinfo/sisyphus

Re: [sisyphus] Re: mysql buffer overflow

[Albert R. Valiev]

[-- Attachment #1: signed data --]
[-- Type: text/plain, Size: 551 bytes --]

В сообщении от 18 Сентябрь 2003 11:32 Stanislav Ievlev написал:
> > > /me очень хочет RSBAC в дистрибутиве, ну очень хочет
> > Ты не одинок :)
> > Обещают... Потом...
> И я хочу ... но не могу разорваться на несколько частей :(
> Вот если бы кто взялся сделать kernel-feat-rsbac я бы помог.

Я уже взялся. Осталось довести начатое до конца. Скоро будет в 
сизифе (как только /me окончательно разберется с cvs)

-- 

With Best Regards, Albert R. Valiev
------------------------------------
ALT Linux Team [www.altlinux.ru]
ARV-DARKSTAR-RIPN, ARV2-RIPE

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: mysql buffer overflow

[Alexei Takaseev]

On Wed, 17 Sep 2003 12:22:25 +0400
"Konstantin A. Lepikhov" <lakostis@elektrostal.ru> wrote:

> Hi!
> 
> Wed 17, 10:18:33 +0700,
> Maxim.Savrilov@socenter.ru(Maxim.Savrilov@socenter.ru) wrote:
> 
> <skip>
> <flame>
> > P.S. еще бы в оригинальные ядра Linus положил grsecurity
> > patch, ваще счастье было бы
> > 
> может лучше owl? :)

А kernel-fix-security-owl-2003.08.28-alt1.noarch.rpm на что? Если
надо, так пересобрать с патчем - дело двух часов :)

[sisyphus] Re: mysql buffer overflow

[Konstantin A. Lepikhov]

Hi!

Wed 17, 21:26:21 +0900, Alexei Takaseev(taf@altlinux.ru) wrote:

> On Wed, 17 Sep 2003 12:22:25 +0400
> "Konstantin A. Lepikhov" <lakostis@elektrostal.ru> wrote:
> 
> > Hi!
> > 
> > Wed 17, 10:18:33 +0700,
> > Maxim.Savrilov@socenter.ru(Maxim.Savrilov@socenter.ru) wrote:
> > 
> > <skip>
> > <flame>
> > > P.S. еще бы в оригинальные ядра Linus положил grsecurity
> > > patch, ваще счастье было бы
> > > 
> > может лучше owl? :)
> 
> А kernel-fix-security-owl-2003.08.28-alt1.noarch.rpm на что? Если
> надо, так пересобрать с патчем - дело двух часов :)
С этим все понятно, тут разговор про другое был...

-- 
WBR, Konstantin A. Lepikhov

ELKATEL ISP Network Administrator
Tel./Fax: +7(095)7029116
				   http://www.elkatel.ru
--------------------------------------------------------
	...The information is like the bank... (c) EC8OR