Mysql Sicherheitslücke

N

Neogreen

Member
Hey,

Woran kann ich erkennen das Bereits die Sicherheitslücke von Mysql am Mysql Server gepacht worden ist? Server Betriebsystem ist Ubuntu 12.04.1 LTS.
Mysql Version ist folgende: 5.5.28
 
Am Changelog, welches hoffentlich vernünfig von Deiner Distribution geführt wird, für das entsprechende Paket.
 
Ja das hilft auch weiter.... Laut Ubuntu isses 5.1.66 Laut Mysql 5.5 nur sagt eben das Repository es gäbe nichts neueres als 5.5
 
Sry aber was die da abziehen finde ich lächerlich!
Es besteht eine Sicherheitslücke und die warten noch bis 2013? Oder verstehe ich das jetzt falsch?
 
Das haben die schon so gemacht, als sie "nur" eine Datenbank verkauft haben (die man tunlichst nie mit direkter Internet-Anbindung einsetzt).
Bei dem aktuellen Gemischtwarenladen ist soetwas absolut tödlich. Der Laden ist einfach zu groß und unflexibel. :(
 
Es bestehen mehrere Sicherheitsprobleme und das Releasen von Fixes zu festen Patchdays ist mitlerweile Branchenstandard, auch im Open-Source-Bereich.

BTW: Dich hindert Niemand daran, die Lücken auf Deinen Systemen selbst zu fixen, bis ein offizielles Update bereitsteht.
 
Ja, man muss lediglich die betroffenen Codestellen passend umprogrammieren und MySQL rekompilieren. Sollte jeder vernünftige Programmierer hinbekommen.
 
Als ob...
Selbst ein guter Programmierer müsste sich erst einarbeiten um zu verhindern, dass durch das Bugfixing neue Bugs entstehen, die weitreichend Konsequenzen haben könnten. Fängt beim Datenverlust der DB an und hört bei neuen Exploits auf.
 
Vielleicht bekommen zahlende Kunden ja bereits die Bugfixe?
Ich zahle nicht und sorge deshalb für eigene temporäre Problemlösungen.
Desweiteren wird Niemand gezwungen MySQL zu verwenden, es gibt schliesslich genug Alternativen.

Beim Linux-Kernel und nahezu jedem anderen Open-Source-Projekt wartet man auch bis zum nächsten Patchday aka Release auf Bugfixe, nur regt sich dort Niemand drüber auf. YGWYPF!
 
Genau, und Microsoft veröffentlicht seine kritischen Patches auch immer nur am Patchday........ und wenn nicht, soll man das selber beheben und kompilieren. Alles klar!
 
Falls man auf MariaDB 5.1 oder 5.3 setzt ist das einzige ausstehende Sicherheitsproblem die remote user enumeration.
Allerdings sollte selbst das Erraten eines Benutzernamen kein grösseres Sicherheitsloch darstellen.

Ich bin mir allerdings nicht sicher ob das auch für Mysql gilt. Laut Debian gilt CVE-2012-5615 für Mysql 5.1, MariaDB listet es aber erst ab Maria 5.5
=> http://openquery.com/blog/mariadb-security-updates
 
Joe User said:
Vielleicht bekommen zahlende Kunden ja bereits die Bugfixe?
Ich zahle nicht und sorge deshalb für eigene temporäre Problemlösungen.
Desweiteren wird Niemand gezwungen MySQL zu verwenden, es gibt schliesslich genug Alternativen.
Click to expand...

Du hast einen Branchenstandard in's Gespräch gebracht und ich verstehe nicht, warum Du Dich berufen fühlst, einen schlechten Branchenstandart zu verteidigen. Kritische Sicherheitslücken gehören umgehend gefixt und nicht in (frühstens) einem Monat (Windows) oder im nächsten Quartal (Oracle Java: kritisches Sicherheitsloch...sollen daher erst zum nächsten planmäßigen Java-Patchday am 19. Februar 2013 geschlossen werden).

Joe User said:
Beim Linux-Kernel und nahezu jedem anderen Open-Source-Projekt wartet man auch bis zum nächsten Patchday aka Release auf Bugfixe, nur regt sich dort Niemand drüber auf. YGWYPF!
Click to expand...

Bei kritischen Bugs und Sicherheitslücken entspricht das nicht meiner Erfahrung.
 
fdasasdf said:
Du hast einen Branchenstandard in's Gespräch gebracht und ich verstehe nicht, warum Du Dich berufen fühlst, einen schlechten Branchenstandart zu verteidigen.
Click to expand...
Ich habe ihn nicht verteidigt, sondern lediglich auf ihn hingewiesen. Und nur weil ich auf etwas hinweise, heisst es noch lange nicht, dass ich es gut finde. Aber ich bin erwachsen genug, um solche Dinge zu akzeptieren und die für mich daraus resultierenden Folgen zu überblicken und entsprechend zu händeln. Jammern und Bocken wie ein Kleinkind bringt da nix...
 
You must log in or register to reply here.
Back
Top