Сайт MySQL хакнули SQL-инъекцией

Сайт MySQL хакнули SQL-инъекцией

Некие румынские хакеры, откликающиеся на имена TinKode и Ne0h, опубликовали данные, собранные ими в результате взлома сайтов mysql.com и sun.com. Официальный сайт MySQL содержит по крайней мере две уязвимости: одна типа SQL-инъекция, а вторая — типа межсайтовый скриптинг (XSS). Благодаря первой из них взломщики сумели считать список баз данных, использующихся этим ресурсом, список таблиц некоторых этих баз, а также содержимое таблиц с данными об их пользователях — логинами и паролями, хэшированными при помощи стандартной функции MySQL password().



Кроме того, удалось обнаружить email-адреса пользователей, также с хэшами паролей (MD5). Некоторые из паролей того и другого типа удалось восстановить (способ не уточняется, но наверняка использовалась одна из онлайн-баз хэшей, коих в Сети предостаточно), сообщает webplanet.ru.

Нельзя не отметить исключительную простоту некоторых из вскрытых паролей. Например, пользователи с весьма примечательными логинами "sys" и "sysadm" завели себе пароли "phorum5" и "qa" соответственно. А почта одного из руководителей высшего звена MySQL запаролена последовательностью из четырёх цифр, три первые из которых одинаковы. Эксперт компании Sophos Честер Вишневски (Chester Wisniewski) не без иронии предполагает, что эти же цифры являются пин-кодом пластиковой карты этого человека.

Хакеры отмечают, что обе уязвимости mysql.com (имеющие также место и на региональных сайтах компании) были обнаружены ими ещё в начале января. Результаты взлома они решили предать гласности после того, как их приятель по имени Jackh4x0r воспользовался той же "дырой" и опубликовал всё, что только смог через неё вытащить.

Также TinKode и Ne0h нашли XSS-уязвимость в двух поддоменах sun.com (Sun Microsystems приобрела MySQL в 2008 году, а через два года продалась вместе со всеми потрохами компании Oracle). Через эту "дыру" удалось выкрасть менее критичную информацию: во всяком случае, никаких логинов-паролей хакеры не публикуют, а самым значительным их достижением стал список корпоративных email-адресов.

В MySQL и Sun пока не прокомментировали эти инциденты.

Жильцы вправе требовать от консьержей неразглашения данных

Первый заместитель председателя комитета Госдумы по строительству и ЖКХ Владимир Кошелев напомнил, что консьержи могут нести ответственность за разглашение информации о жильцах, вплоть до уголовной. Однако это возможно только в том случае, если требование о конфиденциальности прямо закреплено в их должностной инструкции.

Как пояснил депутат в комментарии ТАСС, жители дома могут включить такой пункт в инструкцию консьержа на общем собрании:

«Что касается беспокойства о приватности информации, которой обладает консьерж, то оно решается правилами, закрепленными в должностной инструкции, утвержденной общим собранием. В ней должен быть чётко прописан отдельный пункт о конфиденциальности — запрет на разглашение любой информации о жильцах и их гостях третьим лицам».

Если это требование будет нарушено, консьержа, как напомнил Владимир Кошелев, могут не только уволить, но и привлечь к уголовной ответственности по статье 137 УК РФ («Нарушение неприкосновенности частной жизни»).

Эта статья предусматривает штраф в размере дохода осуждённого за период до полутора лет, либо принудительные работы на срок до двух лет, либо лишение свободы на тот же срок. Если же противоправные действия были совершены с использованием служебного положения, ответственность становится строже.

Недавно по статье 137 УК РФ было передано в суд уголовное дело в отношении жительницы Алтайского края. По версии следствия, она пыталась собрать компрометирующую информацию на своего руководителя, установив диктофон в его служебном кабинете.

RSS: Новости на портале Anti-Malware.ru