MariaDB/MySQL 概率性任意密码(身份认证)登录漏洞(CVE-2012-2122)

[caomu]

http://sebug.net/vuldb/ssvid-60198

漏洞版本: All MariaDB MySQL versions up to 5.1.61, 5.2.11, 5.3.5, 5.5.22

漏洞描述: 当连接MariaDB/MySQL时，输入的密码会与期望的正确密码比较，由于不正确的处理，会导致即便是 memcmp()返回一个非零值，也会使MySQL认为两个密码是相同的。 也就是说只要知道用户名（比如root），不断尝试就能够直接登入SQL数据库。按照公告说法大约256 次就能够蒙对一次。而且漏洞利用工具已经出现。

<* 参考 http://seclists.org/oss-sec/2012/q2/493 *>

[dianso]

只知道前几个月phpmyadmin低版本有个漏洞，无需密码就可以登陆。

[Frannk]

逆天了

[caomu]

http://community.rapid7.com/community/metasploit/blog/2012/06/11/cve-2012-2122-a-tragically-comedic-security-flaw-in-mysql

[neildd]

这个漏洞很厉害，很多网站都用的开源解决方案，mysql首当其冲。

[caoyue]

所以说强制类型转换不安全啊

[Smartype]

@caoyue 主要是要知道自己在干什么。这种有损失的转换只要编译器设置严格点就会warn。呵呵

[caomu]

http://www.udpwork.com/item/7463.html

[muxi]

从来不给MySQL开外网连接权限的路过，坐等SSHD漏洞