Сайт MySQL хакнули SQL-инъекцией

Сайт MySQL хакнули SQL-инъекцией

Некие румынские хакеры, откликающиеся на имена TinKode и Ne0h, опубликовали данные, собранные ими в результате взлома сайтов mysql.com и sun.com. Официальный сайт MySQL содержит по крайней мере две уязвимости: одна типа SQL-инъекция, а вторая — типа межсайтовый скриптинг (XSS). Благодаря первой из них взломщики сумели считать список баз данных, использующихся этим ресурсом, список таблиц некоторых этих баз, а также содержимое таблиц с данными об их пользователях — логинами и паролями, хэшированными при помощи стандартной функции MySQL password().



Кроме того, удалось обнаружить email-адреса пользователей, также с хэшами паролей (MD5). Некоторые из паролей того и другого типа удалось восстановить (способ не уточняется, но наверняка использовалась одна из онлайн-баз хэшей, коих в Сети предостаточно), сообщает webplanet.ru.

Нельзя не отметить исключительную простоту некоторых из вскрытых паролей. Например, пользователи с весьма примечательными логинами "sys" и "sysadm" завели себе пароли "phorum5" и "qa" соответственно. А почта одного из руководителей высшего звена MySQL запаролена последовательностью из четырёх цифр, три первые из которых одинаковы. Эксперт компании Sophos Честер Вишневски (Chester Wisniewski) не без иронии предполагает, что эти же цифры являются пин-кодом пластиковой карты этого человека.

Хакеры отмечают, что обе уязвимости mysql.com (имеющие также место и на региональных сайтах компании) были обнаружены ими ещё в начале января. Результаты взлома они решили предать гласности после того, как их приятель по имени Jackh4x0r воспользовался той же "дырой" и опубликовал всё, что только смог через неё вытащить.

Также TinKode и Ne0h нашли XSS-уязвимость в двух поддоменах sun.com (Sun Microsystems приобрела MySQL в 2008 году, а через два года продалась вместе со всеми потрохами компании Oracle). Через эту "дыру" удалось выкрасть менее критичную информацию: во всяком случае, никаких логинов-паролей хакеры не публикуют, а самым значительным их достижением стал список корпоративных email-адресов.

В MySQL и Sun пока не прокомментировали эти инциденты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Глава кабмина РФ попросил не называть ИБ-профессионалов белыми хакерами

Посетив выставку российских ИТ-продуктов, организованную в рамках форума «Цифровые решения», премьер-министр РФ Михаил Мишустин посоветовал участникам не называть своих специалистов по проверке уязвимости белыми хакерами.

Замечание было высказано в адрес Positive Technologies, представители которой рассказали главе кабмина о киберучениях, проводимых с использованием моделей реальных угроз.

По свидетельству ТАСС, в ходе пояснений специалисты PT, тестирующие такие модели, были названы «белыми хакерами». Калькированный термин показался Мишустину неуместным: речь шла о профессионалах высокого уровня.

«Можно совет профессиональной команде? — вопросил поборник чистоты русского языка. — Называйте специалистов, как вы их назвали в кавычках белых хакеров, например, аналитиками по уязвимости критических систем жизнеобеспечения».

Форум «Цифровые технологии» проводимый с инициативы Минцифры и при поддержке правительства РФ, стартовал 12 ноября в Москве в Национальном центре «Россия». В нем принимают участие представители 30 регионов страны, которые обсудят вопросы цифровой трансформации — отечественные ИТ-решения, информационную безопасность, технологическое развитие территорий.

Параллельно с деловой программой работает масштабная выставка лучших отечественных ИТ-продуктов в восьми тематических зонах, включая госуслуги, российское аппаратное обеспечение, кибербез и ИИ. На стенде Positive Technologies представлена информация о трендах кибератак за период с 2018 по 2025 годы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru