Les sites de MySQL victimes d'une attaque informatique, par injection SQL

Version imprimable

30/03/2011, 19h51
Katleen Erna

Les sites de MySQL victimes d'une attaque informatique, par injection SQL

Les sites de MySQL victimes d'une attaque informatique, par injection SQL

Les sites officiels de MySQL (le .com, mais aussi ses versions françaises, allemandes, italiennes et japonaises) ont été la cible d'attaques informatiques.

Les pirates ont procédé par injection SQL (le comble!) et ont ainsi dérobé un listing des adresses e-mail des employés, ainsi que leurs mots de passe, avec en prime des informations confidentielles sur les consommateurs.

De plus, le code d'accès au WordPress du directeur de management des produits a été saisi, il faut dire qu'il ne comprenait que... 4 chiffres ! Et certains comptes avaient des mots de passe faits de seulement deux caractères.

Malgré tout, ce ne sont pas ces mots de passe faibles qui ont été utiliser pour compromettre les sites, mais des failles dans l'implémentation des sites en question (et donc non présentes dans MySQL lui-même).

Les attaques ont aussi visé les sociétés propriétaires de MySQL (Sun et Oracle), mais avec un succès partiel. Les e-mails ont été récupérés dans les bases de données, mais pas les mots de passe.

Source : Le blog de Sophos
30/03/2011, 20h29
H.Pascal

Mais quelle bande de tâches quand même, comment c'est encore possible ça !
30/03/2011, 20h30
Ev3r10st

ah ah la blague :lol:
30/03/2011, 20h39
Oishiiii

Le plus grave c'est l'injection SQL ou le stockage des mots de passe en clair ? :roll:
30/03/2011, 21h25
guilhem91

La blague ! Ça ressemblerait presque à un poisson d'avril un peu en avance :mrgreen:
30/03/2011, 21h58
Aiekick

c'est pas forcement les développeur d’application qui en sont les meilleurs utilisateurs.
30/03/2011, 22h40
pi-2r

c'est vraiment un comble...
30/03/2011, 23h22
Code62

Epic fail :mouarf:
31/03/2011, 01h05
nu_tango

Voir aussi http://seclists.org/fulldisclosure/2011/Mar/309

C'est vrai que c'est pas très glorieux pour un site de cette renommée... ça doit faire 5 ans que j'ai pas fais de php mais un simple

Code:

$id = intval($_GET['id'])

avant traitement aurait empêché ce désastre non ? :?
31/03/2011, 08h59
ratomms

ça alors, c'est vraiment comble. Pourquoi est-ce possible?
31/03/2011, 09h16
Flaburgan

L'attaque a été revendiquée et c'était un white hat, ou bien les développeurs ont du souci à se faire ?
31/03/2011, 10h32
FaridM

Citation:

Envoyé par Oishiiii

Le plus grave c'est l'injection SQL ou le stockage des mots de passe en clair ? :roll:

Ou les deux, plus les code d'accés à 2 ou 4 caractères...
Wordpress autorise les mots de passe de seuleument 4 caractères?

C'est tellement énorme que j'ai du mal à y croire.
31/03/2011, 10h34
Flaburgan

Euh, s'agit pas de wordpress là...
31/03/2011, 12h48
demenvil

Énoorme..
C'est pas mal une bonne petite histoire ^^ les site de mysql pirater par injection sql ^^ des mot de passe de 4 chiffre :aie: et d'autre de deux caractères :mouarf:
On peut dire qu'il y a du niveau chez Oracle :yaisse3::scarymov::toutcasse:
31/03/2011, 12h56
berceker united

Bizarre, il y a quelque temps c'était le site de PHP.net qui a été attaqué.
Coïncidence ou non ? :roll:
31/03/2011, 12h59
demenvil

Bah c'est la fête en ce moment ^^
le site de php, mysql, des certifs SSL (google & cie) et même la nasa ^^ Si on rajoute stuxnet moi je dit en ce moment c'est la fête ! :aie:
31/03/2011, 13h36
FaridM
Citation:

Envoyé par Flaburgan

Euh, s'agit pas de wordpress là...
Code:

1 2 De plus, le code d'accès au WordPress du directeur de management des produits a été saisi, il faut dire qu'il ne comprenait que... 4 chiffres !
C'était simplement une question, la plupart des applis n'autorisent pas d'avoir un mot de passe de moins de 5 ou 6 caractères et je savais pas Wordpress le permet.
Ma remarque était là aussi pour dire que la sécurité n'est pas leur priorités...