forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Обновление MariaDB с устранением zero-day уязвимости, затраг..., opennews (ok), 03-Дек-12, (0) [смотреть все]

Oracle долго еще будет тянуть кота за яица W хвост, GentooBoy (ok), 20:07 , 03-Дек-12, (1) +4 //

Монти vs Oracle 1 0 , Аноним (-), 20:50 , 03-Дек-12, (11) +2
Не долго осталось Как мне помнится , когда Oracle скупила весь хабар у Sunто он, Andreys (?), 08:55 , 04-Дек-12, (63) +1

Глядишь, люди и поймут, что с мускуля пора бежать и куда бежать - тоже ясно, Crazy Alex (ok), 20:20 , 03-Дек-12, (2) +2 //

Кому надо уже давно понял и свалил подальше от оракла Остальные просто пользуют, Z (??), 20:34 , 03-Дек-12, (3) +1 //

Ну вот хостерам и будет понятно, Crazy Alex (ok), 15:15 , 04-Дек-12, (76)

И куда бежать Во многих стабильных и бинарных дистрибутивах есть эта мариядб , Etch (?), 20:39 , 03-Дек-12, (6) –2 //

Очевидно что на PostgreSQL , Anonym (?), 20:42 , 03-Дек-12, (7) +10 //

Нормально так сбежать с повседневной легковушки на брутальный карьерный сам, Аноним (-), 20:52 , 03-Дек-12, (12) +4

Аноним, ты идиот PG это качественная легковушка пусть будет иномарка , а mysq, all_glory_to_the_hypnotoad (ok), 21:10 , 03-Дек-12, (17) +4

Такое сравнение ещё хуже, т к если у ведра отваливаются гайки, то его надо меня, Etch (?), 21:26 , 03-Дек-12, (18) +2

вот в этом вся ваша сущность, адепты мускуля А если у ведра гайки не отваливают, all_glory_to_the_hypnotoad (ok), 22:30 , 03-Дек-12, (24) +2

Ну при чём тут адепты мускула Есть определённая программа со своими системными , Etch (?), 00:35 , 04-Дек-12, (50) +1

отлично Но какое это отношение имеет к легковушка vs брутальный самосвал ещё , all_glory_to_the_hypnotoad (ok), 00:50 , 04-Дек-12, (53)

Простите, я думал это у вас просто аналогии такие дурацкие, и решил вернуть тему, Etch (?), 01:35 , 04-Дек-12, (59) +5

Не, не так С точки зрения водителя карьерного самосвала или хотя-бы фуры, инома, Аноним (-), 00:52 , 04-Дек-12, (54)

Честно, я не понимаю этих глупых сравнений, по количеству потребляемых ресурсов , Anonym (?), 23:16 , 03-Дек-12, (35) +8

, всё так и есть , all_glory_to_the_hypnotoad (ok), 23:56 , 03-Дек-12, (45)

всем наплевать на слона, слишком трудоемкий перезд для ленивых сиадминов, Adui (?), 21:10 , 03-Дек-12, (16) +1

Ленивый сисадимн вымирает как класс, Genix (?), 22:18 , 03-Дек-12, (21) –2

Только ленивый сисадмин может быть хорошим Работодатели это к сожалению плохо , angra (ok), 22:41 , 03-Дек-12, (26) +6
Размечтался то Тем более что хороший админ по определению ленив Если админ уси, Аноним (-), 00:53 , 04-Дек-12, (55) +2

Отучайтесь говорить за всех , Anonym (?), 23:18 , 03-Дек-12, (36)

большинству наплевать на ваши советы , Adui (?), 01:11 , 04-Дек-12, (56)

Переписывние кода под постгре стоит денег А мария - drop-in replacement , Crazy Alex (ok), 15:16 , 04-Дек-12, (77) +1

Все правильно говорите Если заказчик багач, можно и переписать, Adui (?), 18:34 , 04-Дек-12, (78)

ну да, за 171 багачом 187 обычно много переписывать приходится , arisu (ok), 19:23 , 04-Дек-12, (79) +1

Жизнь заставит - найдете , XoRe (ok), 22:59 , 03-Дек-12, (32) +1
Подключайте репозитории Percona тоже в офф репах нетуhttps downloads mariadb, Anonym (?), 23:37 , 03-Дек-12, (40) +1
В стабильных - да См openSUSE, Moomintroll (ok), 08:50 , 04-Дек-12, (62)
На хостингах всё жизнь софт собирался руками, Crazy Alex (ok), 15:15 , 04-Дек-12, (75)

1 То ли разрабы просто ленятся, то ли им нравится вставлять палки в колёса си, Etch (?), 20:34 , 03-Дек-12, (4) +2 //

Если зайти с другого боку - тот, кто дает права FILE пользователям даже системн, AlexAT (ok), 20:39 , 03-Дек-12, (5) //

Это, конечно же, всё так, но в жизни ситуации бывают разные и я не вижу объектив, Etch (?), 20:44 , 03-Дек-12, (9) //

ды не волнуйтесь вы так исправят ваш FILE -- в каких нибудь там следующих ма, Xasd (ok), 21:41 , 03-Дек-12, (19) +2

Действительно, зачем нам скоростная выгрузка загрузка данных, есть же mysqldump , angra (ok), 22:52 , 03-Дек-12, (30) +2 //

И куда вы столько раз вгружать-выгружать собрались, что нагрузка без FILE стал, AlexAT (ok), 22:55 , 03-Дек-12, (31)

Поставлена задача Две большие ну скажем, пару часов на снятие дампа БД с похо, angra (ok), 23:46 , 03-Дек-12, (42)

Самый очевидный и правильный вариант для предложенной задачи mysqldump --host A, AlexAT (ok), 10:03 , 04-Дек-12, (67)

СмешноИзбавит, ничего конвертировать не надо, вы бы хоть синтаксис SELECT I, angra (ok), 13:35 , 04-Дек-12, (71) –1

Угу Таки структура разная, или нет Можно спросить - какой идиот разрабатывал с, AlexAT (ok), 15:14 , 04-Дек-12, (74)

В общем, логично FILE каждому раздавать не будешь А уж если раздал - не пу, myhand (ok), 20:43 , 03-Дек-12, (8) –1 //

А зачем БД по умолчанию их туда пускает , Etch (?), 20:49 , 03-Дек-12, (10) //

А почему нет Для пользователя с правами администратора - это вполне имеет смыс, myhand (ok), 20:58 , 03-Дек-12, (13) //

Пусть делают отдельную опцию и в документации напишут чем это опасно Кому это д, Etch (?), 21:06 , 03-Дек-12, (14)

ага а то админы 8212 они такие раздают права направо и налево , arisu (ok), 21:57 , 03-Дек-12, (20)

Ну вот ты не путай админов с опытом и тех, кто только встает на данный путь То , Genix (?), 22:19 , 03-Дек-12, (22) +1

а зачем оно лезет боевые сервера админить пусть учится у старших сначала а есл, arisu (ok), 22:24 , 03-Дек-12, (23)

Да тут не важно - направо или налево Просто любой нормальный человек, если ему , Etch (?), 22:46 , 03-Дек-12, (27)

То нормальный человек А нормальный сисадмин сначала прикинет, чем это ему грози, AlexAT (ok), 22:48 , 03-Дек-12, (28)

Сферические кони в вакууме это круто, но заглянем в реальный мир Вот что есть в, angra (ok), 23:02 , 03-Дек-12, (33) +3

Не мечите бисер перед непогрешимыми всезнайками Это у них по молодости, что быс, Аноним (-), 23:33 , 03-Дек-12, (39) +2
Этого уже достаточно, чтобы не включать данную привилегию , AlexAT (ok), 07:15 , 04-Дек-12, (61) –2

Понятно, встретил слово security и испытал приступ медвежьей болезни А так слад, angra (ok), 13:37 , 04-Дек-12, (72) +1

я надеюсь, ты админишь только локалхост если вдруг 8212 нечаянно 8212 ты , arisu (ok), 22:52 , 03-Дек-12, (29)

Переход на личности Не волнуйтесь, не вляпаетесь, моя компания IT-услуг не оказ, Etch (?), 23:47 , 03-Дек-12, (44)

счастье-то какое , arisu (ok), 00:01 , 04-Дек-12, (46)

вообще ты не прав Админ, особенно ДБАшник, обязан это делать Т е как минимум , all_glory_to_the_hypnotoad (ok), 23:22 , 03-Дек-12, (37)

Вот признайтесь честно, кто знал про эту уязвимость или хотя бы про опцию secure, Etch (?), 23:37 , 03-Дек-12, (41) +1

причём тут, млять, знал обязан узнать , особенно когда речь идёт о какой-то , all_glory_to_the_hypnotoad (ok), 23:46 , 03-Дек-12, (43)

Ага, вот и начинается - не знал, но обязан узнать Обязан, конечно, если тебе за, Etch (?), 00:18 , 04-Дек-12, (47)

то там столько дырок, что одной больше, одной меньше 8230 , arisu (ok), 00:35 , 04-Дек-12, (51)

Дык, не удивительно При таком то отношении разработчиков , Etch (?), 01:21 , 04-Дек-12, (58) +1
каком 171 таком 187 тебе в описании что написали http www opennet ru ope, arisu (ok), 09:38 , 04-Дек-12, (64)

К счастью, в приличных местах таких нормальных апологетов метода тыка - гонят , myhand (ok), 12:55 , 04-Дек-12, (69)
В большинстве случаев file sql injection shell с правами web сервера Всяких , Elhana (ok), 18:17 , 17-Дек-12, (81)

Кто сказал, что file будет даваться веб-приложению Наверное это юмор из того же, Etch (?), 06:32 , 18-Дек-12, (82)

Написали чем опасно Около уже существующей опции FILE Я даже выше ткнул носо, myhand (ok), 22:34 , 03-Дек-12, (25) +1

http dev mysql com doc refman 5 6 en grant htmlПальцем покажете где написано , Etch (?), 23:25 , 03-Дек-12, (38)

Потому что де Wчукча писатель, а не читатель На, читай Сначала http dev mysql, ZloySergant (ok), 00:23 , 04-Дек-12, (48) –2

Минус за оскорбления Итак, подведём итоги Чем опасна привилегия FILE то, что, Etch (?), 01:20 , 04-Дек-12, (57)

Коллеги, срач можно заканчивать Вот я - типичный быдлоадмин, если рассматривать , Kot (??), 04:50 , 04-Дек-12, (60)

как видишь, достаточно не всем некоторые персонажи категорически отказываются в, arisu (ok), 09:42 , 04-Дек-12, (66)

http www opennet ru openforum vsluhforumID3 87589 html 61ЛОЛЩИТО слушай, а ес, arisu (ok), 09:40 , 04-Дек-12, (65)

Вам ответили 48 Нет, к сожалению, в документации необходимого вам комикса ил, myhand (ok), 13:04 , 04-Дек-12, (70) +2

emerge -C mysql emerge -1 mariadbдостали , Sauron (??), 23:02 , 03-Дек-12, (34) +1 //

Что все так прозрачно Т е у MariaDB даже конфиг по дефолту такой же как у муск, epic_fail (?), 11:08 , 04-Дек-12, (68) +1 //

тюнинг у mariadb побольше, но они не утруждались файл конфигурации привести к пр, Adui (?), 14:37 , 04-Дек-12, (73)

Мне одному показалось, что zero-day и exploit , в частности, не совсем про эт, Andrey Mitrofanov (?), 20:21 , 04-Дек-12, (80) –1

Сообщения [Сортировка по времени | RSS]

13. "Обновление MariaDB с устранением zero-day уязвимости, затраг..." +/–

Сообщение от myhand (ok), 03-Дек-12, 20:58

А почему нет?  Для пользователя с правами администратора - это вполне имеет смысл.

Ответить | Правка | Наверх | Cообщить модератору

14. "Обновление MariaDB с устранением zero-day уязвимости, затраг..." +/–

Сообщение от Etch (?), 03-Дек-12, 21:06

> А почему нет?  Для пользователя с правами администратора - это вполне
> имеет смысл.
Пусть делают отдельную опцию и в документации напишут чем это опасно. Кому это действительно понадобится (а таких - меньшинство), те включат и будут точно знать зачем это надо и чем чревато.
А если это имеет смысл только для пользователей с правами "ADMIN", то зачем оно работает и для тех, у кого есть только "FILE", да ещё по умолчанию? В общем, с точки зрения сисадмина - полнейший бред.

Ответить | Правка | Наверх | Cообщить модератору

20. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от arisu (ok), 03-Дек-12, 21:57

> Пусть делают отдельную опцию и в документации напишут чем это опасно.
ага. а то админы — они такие: раздают права направо и налево.

Ответить | Правка | Наверх | Cообщить модератору

22. "Обновление MariaDB с устранением zero-day уязвимости,..." +1 +/–

Сообщение от Genix (?), 03-Дек-12, 22:19

>> Пусть делают отдельную опцию и в документации напишут чем это опасно.
> ага. а то админы — они такие: раздают права направо и налево.
Ну вот ты не путай админов с опытом и тех, кто только встает на данный путь. То что одному хорошо -- другому смерть )

Ответить | Правка | Наверх | Cообщить модератору

23. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от arisu (ok), 03-Дек-12, 22:24

а зачем оно лезет боевые сервера админить? пусть учится у старших сначала. а если полезло — то само виновато.

Ответить | Правка | Наверх | Cообщить модератору

27. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от Etch (?), 03-Дек-12, 22:46

> ага. а то админы — они такие: раздают права направо и налево.
Да тут не важно - направо или налево. Просто любой нормальный человек, если ему понадобится что-то включить, то он это сделает и просто проверит - работает или нет. Если мне понадобится включить "FILE", то я его просто включу. И только если оно не заработает так как мне надо, тогда только полезу в документацию смотреть причины такого поведения.
А так, чтоб читать всю документацию от корки до корки и постоянно держать всё это в голове - я таких людей не встречал (так, чтоб ночью разбуди и он тебе расскажет, что если изменить такую-то опцию, то сломается вон там - совсем в другом месте - и чинить это надо вот так). И не надо отмазки лепить "а зачем оно лезет"; понадобилось, вот и полезло. Просто пишите так, чтоб было безопасно by design, и чтобы случайно отстрелить себе что-то было невозможно. Ведь сами же рано или поздно наткнётесь на эту или подобную подставу, ибо закон Мэрфи никто не отменял.

Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

28. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от AlexAT (ok), 03-Дек-12, 22:48

> Да тут не важно - направо или налево. Просто любой нормальный человек,
То нормальный человек. А нормальный сисадмин сначала прикинет, чем это ему грозит, и как на системе отразится.
>>> А так, чтоб читать всю документацию от корки до корки и постоянно держать всё это в голове - я таких людей не встречал
Блджад, печалька. А я каждый день в зеркале вижу. На самом деле - всегда сначала полностью прочесываю необходимые участки мануала (с нудным хождением по рефам, ага), и лишь потом (когда вся теория ясна и прозрачна, и в голове сложилась) берусь что-то собирать. Привычка.
Да. Медленнее... не намного, но медленнее "молодых и горячих". Факт. Зато потом не приходится жать плечами и биться головой об стену, что что-то работает не так, потому что "а вон ту фенечку надо было сразу вкрутить".

Ответить | Правка | Наверх | Cообщить модератору

33. "Обновление MariaDB с устранением zero-day уязвимости,..." +3 +/–

Сообщение от angra (ok), 03-Дек-12, 23:02

Сферические кони в вакууме это круто, но заглянем в реальный мир. Вот что есть в доке мускула про FILE privilege, расскажи с обоснованием какие проблемы ты видишь из этого текста, а самое главное, как отсюда следует обсуждаемый эксплойт.
The FILE privilege gives you permission to read and write files on the server host using the LOAD DATA INFILE and SELECT ... INTO OUTFILE statements and the LOAD_FILE() function. A user who has the FILE privilege can read any file on the server host that is either world-readable or readable by the MySQL server. (This implies the user can read any file in any database directory, because the server can access any of those files.) The FILE privilege also enables the user to create new files in any directory where the MySQL server has write access. As a security measure, the server will not overwrite existing files.

Ответить | Правка | Наверх | Cообщить модератору

39. "Обновление MariaDB с устранением zero-day уязвимости,..." +2 +/–

Сообщение от Аноним (-), 03-Дек-12, 23:33

Не мечите бисер перед непогрешимыми всезнайками. Это у них по молодости, что быстро проходит.

Ответить | Правка | Наверх | Cообщить модератору

61. "Обновление MariaDB с устранением zero-day уязвимости,..." –2 +/–

Сообщение от AlexAT (ok), 04-Дек-12, 07:15

> implies the user can read any file in any database directory
...
> privilege also enables the user to create new files in any
> directory where the MySQL server has write access. As a security
Этого уже достаточно, чтобы не включать данную привилегию.

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

72. "Обновление MariaDB с устранением zero-day уязвимости,..." +1 +/–

Сообщение от angra (ok), 04-Дек-12, 13:37

Понятно, встретил слово security и испытал приступ медвежьей болезни. А так сладко пел про тщательное изучение.

Ответить | Правка | Наверх | Cообщить модератору

29. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от arisu (ok), 03-Дек-12, 22:52

> Да тут не важно — направо или налево. Просто любой нормальный человек,
> если ему понадобится что-то включить, то он это сделает и просто
> проверит — работает или нет. Если мне понадобится включить «FILE», то
> я его просто включу. И только если оно не заработает так
> как мне надо, тогда только полезу в документацию смотреть причины такого
> поведения.
я надеюсь, ты админишь только локалхост. если вдруг — нечаянно — ты работаешь, например, админом у какого-нибудь хостера, то скажи название, пожалуйста. нет, мне не чтобы жаловаться, мне чтобы случайно не вляпаться.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

44. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от Etch (?), 03-Дек-12, 23:47

Переход на личности? Не волнуйтесь, не вляпаетесь, моя компания IT-услуг не оказывает. Вернее - вляпываться будете постоянно (по своему опыту сужу), ибо такие крутые админы только в сказках обитают и работают только за соответствующую (сказочную) зарплату.

Ответить | Правка | Наверх | Cообщить модератору

46. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от arisu (ok), 04-Дек-12, 00:01

> Не волнуйтесь, не вляпаетесь, моя компания IT-услуг не оказывает.
счастье-то какое.

Ответить | Правка | Наверх | Cообщить модератору

37. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от all_glory_to_the_hypnotoad (ok), 03-Дек-12, 23:22

> А так, чтоб читать всю документацию от корки до корки и постоянно держать всё это в голове - я таких людей не встречал
вообще ты не прав. Админ, особенно ДБАшник, обязан это делать. Т.е. как минимум читать документацию по незнакомым моментам. Но чем проще и консистентнее дизайн системы, тем меньше шансов ошибиться, потому и
> Просто пишите так, чтоб было безопасно by design, и чтобы случайно отстрелить себе что-то было невозможно.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

41. "Обновление MariaDB с устранением zero-day уязвимости,..." +1 +/–

Сообщение от Etch (?), 03-Дек-12, 23:37

>> А так, чтоб читать всю документацию от корки до корки и постоянно держать всё это в голове - я таких людей не встречал
> вообще ты не прав. Админ, особенно ДБАшник, обязан это делать. Т.е. как
> минимум читать документацию по незнакомым моментам.
Вот признайтесь честно, кто знал про эту уязвимость или хотя бы про опцию secure-file-priv и что её надо обязательно включать и настраивать если кому-то даёте привилегии "FILE". Интересно, много таких? Задним-то умом мы все сильны.

Ответить | Правка | Наверх | Cообщить модератору

43. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от all_glory_to_the_hypnotoad (ok), 03-Дек-12, 23:46

причём тут, млять, "знал"? 'обязан узнать', особенно когда речь идёт о какой-то заведомо странной хренотени типа "FILE".

Ответить | Правка | Наверх | Cообщить модератору

47. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от Etch (?), 04-Дек-12, 00:18

> причём тут, млять, "знал"? 'обязан узнать', особенно когда речь идёт о какой-то
> заведомо странной хренотени типа "FILE".
Ага, вот и начинается - не знал, но обязан узнать. Обязан, конечно, если тебе за это деньги платят. Вот только в документации про это - сюрприз - в ожидаемом месте ни слова:
http://dev.mysql.com/doc/refman/5.6/en/grant.html
И в описании про эту опцию тоже не особо много написано (это если ещё найдёшь её):
  --secure-file-priv=name
                      Limit LOAD DATA, SELECT ... OUTFILE, and LOAD_FILE() to
                      files within specified directory
Не, если постоянно админишь линуксы с мускулами, то наверняка такие вещи будешь знать и по-любому включишь эту опцию (опять же, если найдёшь) даже просто чтоб спокойней было. Если это твоя специализация. А если это студент на полставки 10 компов с виндами эникеет плюс сервер с сайтом компании? Жизнь ведь не чёрно-белая, она намного многообразнее.

ЗЫ: Нет, мне всё-таки стало очень интересно узнать - сколько людей из считающих, что CVE-2012-5613 не является уязвимостью (или считающих себя крутым админом), знали об этом подводном камне. Ну или если не знали за ненадобностью, то алгоритм ваших действий в случае если надо дать кому-то привилегии "FILE". - По пунктам: начну отсюда, потом почитаю там-то, и в конце включу такую-то опцию. Только чур честно.

Ответить | Правка | Наверх | Cообщить модератору

51. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от arisu (ok), 04-Дек-12, 00:35

> А если это студент на полставки 10 компов с виндами эникеет плюс сервер с
> сайтом компании?
то там столько дырок, что одной больше, одной меньше…

Ответить | Правка | Наверх | Cообщить модератору

58. "Обновление MariaDB с устранением zero-day уязвимости,..." +1 +/–

Сообщение от Etch (?), 04-Дек-12, 01:21

Дык, не удивительно. При таком то отношении разработчиков...

Ответить | Правка | Наверх | Cообщить модератору

64. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от arisu (ok), 04-Дек-12, 09:38

> Дык, не удивительно. При таком то отношении разработчиков…
каком «таком»? тебе в описании что написали? http://www.opennet.ru/openforum/vsluhforumID3/87589.html#61
не ясно, чем это чревато? тогда да, разработчики забыли позаботиться об олигофренах.

Ответить | Правка | Наверх | Cообщить модератору

69. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от myhand (ok), 04-Дек-12, 12:55

>> ага. а то админы — они такие: раздают права направо и налево.
> Да тут не важно - направо или налево. Просто любой нормальный человек,
> если ему понадобится что-то включить, то он это сделает и просто
> проверит - работает или нет.
К счастью, в приличных местах таких "нормальных" апологетов метода тыка - гонят ссаной тряпкой.  Рано или поздно.
> А так, чтоб читать всю документацию от корки до корки и постоянно
> держать всё это в голове
"Постоянно держать все в голове" - не нужно.  Что нужно - прочитать документацию по опции полностью, раз уж собрался ей воспользоваться.  *Перед* включением.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

81. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от Elhana (ok), 17-Дек-12, 18:17

В большинстве случаев file + sql injection = shell с правами web сервера.
Всяких вам творческих успехов с таким подходом к работе!
Если пользователям файлы заливать на сайт надо - тоже просто анонимный фтп доступ откроете в директорию сайта и пусть скрипты заливают? )

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

82. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от Etch (?), 18-Дек-12, 06:32

> В большинстве случаев file + sql injection = shell с правами web
> сервера.
Кто сказал, что file будет даваться веб-приложению? Наверное это юмор из того же разряда, что и про анонимный фтп.
И вообще-то изначально речь шла не про админов, а про программистов, которым лень исправлять уязвимости. Это потом набежали админы локалхостов, которым достаточно всретить слово security, чтобы наложить в штаны и никогда не использовать подобных привилегий.

Ответить | Правка | Наверх | Cообщить модератору

25. "Обновление MariaDB с устранением zero-day уязвимости, затраг..." +1 +/–

Сообщение от myhand (ok), 03-Дек-12, 22:34

>> А почему нет?  Для пользователя с правами администратора - это вполне
>> имеет смысл.
> Пусть делают отдельную опцию и в документации напишут чем это опасно.
Написали чем опасно.  Около уже существующей опции FILE.  Я даже выше ткнул носом местных "чукч" в пост.
> Кому это действительно понадобится (а таких - меньшинство), те включат и будут
> точно знать зачем это надо и чем чревато.
Если сейчас эти буратины (не буду указывать пальцем) не сумели прочитать документацию по гранту FILE - почему тогда сумеют?
> В общем, с точки зрения сисадмина - полнейший бред.
А с точки зрения системного администратора - вполне нормальное и *документированное* поведение.

Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

38. "Обновление MariaDB с устранением zero-day уязвимости, затраг..." +/–

Сообщение от Etch (?), 03-Дек-12, 23:25

> Написали чем опасно.  Около уже существующей опции FILE.  Я даже
> выше ткнул носом местных "чукч" в пост.
http://dev.mysql.com/doc/refman/5.6/en/grant.html
Пальцем покажете где написано? А ведь это та самая страница, на которую я полезу почитать про эту опцию перед её включением. А ведь многие и туда не полезут, в лучшем случае на форумах прочитают готовую команду.
>> Кому это действительно понадобится (а таких - меньшинство), те включат и будут
>> точно знать зачем это надо и чем чревато.
> Если сейчас эти буратины (не буду указывать пальцем) не сумели прочитать документацию
> по гранту FILE - почему тогда сумеют?
Во-первых, большинству это просто не понадобится;
во-вторых в описании опции просто обязано быть написано что она делает и, даже если не писать специально о её опасности, то даже последний даун заподозрит какой-то подвох - а зачем это сделали отдельную опцию и действительно ли мне нужно пускать этого юзера в каталог с данными;
в-третьих - можно обойтись вообще без опции, а сделать простую логику: если уже имеешь права админа, то флаг тебе в руки, а если не имеешь, то и нефиг тебе там делать. Вроде я уже писал об этом...
>> В общем, с точки зрения сисадмина - полнейший бред.
> А с точки зрения системного администратора - вполне нормальное и *документированное* поведение.
Удачных поисков в документации (см. выше) и прокачке скиллов в определении мест, в которых разработчики подложили вам очередную свинью.
Задокументировать можно любую глупость, умнее и нормальнее она от этого не станет. А умные вещи, кстати, и без документации очевидны.

Ответить | Правка | Наверх | Cообщить модератору

48. "Обновление MariaDB с устранением zero-day уязвимости, затраг..." –2 +/–

Сообщение от ZloySergant (ok), 04-Дек-12, 00:23

>А ведь это та самая страница, на которую я полезу почитать про эту опцию перед её включением.
Потому что де^Wчукча писатель, а не читатель.
На, читай. Сначала http://dev.mysql.com/doc/refman/5.6/en/privileges-provided.h... , после которого у админа должно начаться чесание задницы предвещающей неприятности потом сцылкой оттуда http://dev.mysql.com/doc/refman/5.6/en/string-functions.html... , где есть намек на то что попаболи можно избежать; и, уже http://dev.mysql.com/doc/refman/5.6/en/server-system-variabl...
Впрочем, если последний раздел админ не читал, то он уже не одмын и не чукча, а - дебил.

Ответить | Правка | Наверх | Cообщить модератору

57. "Обновление MariaDB с устранением zero-day уязвимости, затраг..." +/–

Сообщение от Etch (?), 04-Дек-12, 01:20

Минус за оскорбления.
Итак, подведём итоги. Чем опасна привилегия "FILE" (то, что я и просил показать, а не просто ссылку на опцию) - нигде не написано. О необходимости запрета доступа к папке с данными - не написано. О возможном повышении привилегий - не написано. Ссылка на нужную опцию находится в трёх кликах.

Ответить | Правка | Наверх | Cообщить модератору

60. "Обновление MariaDB с устранением zero-day уязвимости, затраг..." +/–

Сообщение от Kot (??), 04-Дек-12, 04:50

> Минус за оскорбления.
Коллеги, срач можно заканчивать.
Вот я - типичный быдлоадмин, если рассматривать меня, как DBA. Про уязвимости в мускуле узнал вот только сейчас, да и то, скорее - случайно.
Ради интереса полез поглядел права на десятке мелких серверов, File нет ни у кого, кроме root-a. Что логично: мускуль я рассматриваю как пассивное хранилище, само ничего не умеющее. И вообще, когда говорят о мускуле, быдлоадмин имеет в ввиду php+mysql. Ну или Perl/Python/...+mysql. Триггеры и хранимые процедуры на мускуле неудобны (сравниваю с другими БД), потому ими я особо и не пользуюсь, успешно заменяя скриптами на P...
Также интуитивно понятно, что File - "завышенная" привелегия, т.к.
1) Эта глобальная привелегия.
2) По дефолту юзер её не получает.
Ну и достаточно прочитать, что мы с этого имеем - доступ к файлам системы из БД, чтобы устрашиться (цена sql-injection повышается на порядок) и обойти стороной.

Ответить | Правка | Наверх | Cообщить модератору

66. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от arisu (ok), 04-Дек-12, 09:42

> Ну и достаточно прочитать, что мы с этого имеем - доступ к
> файлам системы из БД, чтобы устрашиться
как видишь, достаточно не всем: некоторые персонажи категорически отказываются включать мозг. уж не знаю, потому ли, что устройство дорогое, жалко лишний раз использовать, или по какой другой причине.

Ответить | Правка | Наверх | Cообщить модератору

65. "Обновление MariaDB с устранением zero-day уязвимости,..." +/–

Сообщение от arisu (ok), 04-Дек-12, 09:40

> Итак, подведём итоги. Чем опасна привилегия «FILE» (то, что я и просил
> показать, а не просто ссылку на опцию) — нигде не написано.
http://www.opennet.ru/openforum/vsluhforumID3/87589.html#61
> О необходимости запрета доступа к папке с данными — не написано.
ЛОЛЩИТО? слушай, а если на сортире нет надписи «вытирайте задницу после процесса дефекации» — то задницу вытирать не надо, да?

Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

70. "Обновление MariaDB с устранением zero-day уязвимости, затраг..." +2 +/–

Сообщение от myhand (ok), 04-Дек-12, 13:04

>> Написали чем опасно.  Около уже существующей опции FILE.  Я даже
>> выше ткнул носом местных "чукч" в пост.
> http://dev.mysql.com/doc/refman/5.6/en/grant.html
> Пальцем покажете где написано? А ведь это та самая страница, на которую
> я полезу почитать про эту опцию перед её включением.
Вам ответили: #48.  Нет, к сожалению, в документации необходимого вам комикса или готового эксплойта - нету.  Головой таки нужно немного думать и о том как организована система прав в mysql - нужно знать, чтобы знать куда "лезть"...
Куда конкретно *вы* полезете - мне без разницы.
> А ведь многие и туда не полезут, в лучшем случае на форумах прочитают
> готовую команду.
Это просто менее продвинутые буратины, только и всего.
> А умные вещи, кстати, и без документации очевидны.
"Очевидно" только назначение мамкиной титьки.  Всему остальному документация - необходима.

Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	13. "Обновление MariaDB с устранением zero-day уязвимости, затраг..."	+/–
	Сообщение от myhand (ok), 03-Дек-12, 20:58
	А почему нет? Для пользователя с правами администратора - это вполне имеет смысл.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	14. "Обновление MariaDB с устранением zero-day уязвимости, затраг..."	+/–
	Сообщение от Etch (?), 03-Дек-12, 21:06
	> А почему нет? Для пользователя с правами администратора - это вполне > имеет смысл. Пусть делают отдельную опцию и в документации напишут чем это опасно. Кому это действительно понадобится (а таких - меньшинство), те включат и будут точно знать зачем это надо и чем чревато. А если это имеет смысл только для пользователей с правами "ADMIN", то зачем оно работает и для тех, у кого есть только "FILE", да ещё по умолчанию? В общем, с точки зрения сисадмина - полнейший бред.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	20. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от arisu (ok), 03-Дек-12, 21:57
	> Пусть делают отдельную опцию и в документации напишут чем это опасно. ага. а то админы — они такие: раздают права направо и налево.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	22. "Обновление MariaDB с устранением zero-day уязвимости,..."	+1 +/–
	Сообщение от Genix (?), 03-Дек-12, 22:19
	>> Пусть делают отдельную опцию и в документации напишут чем это опасно. > ага. а то админы — они такие: раздают права направо и налево. Ну вот ты не путай админов с опытом и тех, кто только встает на данный путь. То что одному хорошо -- другому смерть )
	Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от arisu (ok), 03-Дек-12, 22:24
	а зачем оно лезет боевые сервера админить? пусть учится у старших сначала. а если полезло — то само виновато.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	27. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от Etch (?), 03-Дек-12, 22:46
	> ага. а то админы — они такие: раздают права направо и налево. Да тут не важно - направо или налево. Просто любой нормальный человек, если ему понадобится что-то включить, то он это сделает и просто проверит - работает или нет. Если мне понадобится включить "FILE", то я его просто включу. И только если оно не заработает так как мне надо, тогда только полезу в документацию смотреть причины такого поведения. А так, чтоб читать всю документацию от корки до корки и постоянно держать всё это в голове - я таких людей не встречал (так, чтоб ночью разбуди и он тебе расскажет, что если изменить такую-то опцию, то сломается вон там - совсем в другом месте - и чинить это надо вот так). И не надо отмазки лепить "а зачем оно лезет"; понадобилось, вот и полезло. Просто пишите так, чтоб было безопасно by design, и чтобы случайно отстрелить себе что-то было невозможно. Ведь сами же рано или поздно наткнётесь на эту или подобную подставу, ибо закон Мэрфи никто не отменял.
	Ответить \| Правка \| К родителю #20 \| Наверх \| Cообщить модератору


	28. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от AlexAT (ok), 03-Дек-12, 22:48
	> Да тут не важно - направо или налево. Просто любой нормальный человек, То нормальный человек. А нормальный сисадмин сначала прикинет, чем это ему грозит, и как на системе отразится. >>> А так, чтоб читать всю документацию от корки до корки и постоянно держать всё это в голове - я таких людей не встречал Блджад, печалька. А я каждый день в зеркале вижу. На самом деле - всегда сначала полностью прочесываю необходимые участки мануала (с нудным хождением по рефам, ага), и лишь потом (когда вся теория ясна и прозрачна, и в голове сложилась) берусь что-то собирать. Привычка. Да. Медленнее... не намного, но медленнее "молодых и горячих". Факт. Зато потом не приходится жать плечами и биться головой об стену, что что-то работает не так, потому что "а вон ту фенечку надо было сразу вкрутить".
	Ответить \| Правка \| Наверх \| Cообщить модератору


	33. "Обновление MariaDB с устранением zero-day уязвимости,..."	+3 +/–
	Сообщение от angra (ok), 03-Дек-12, 23:02
	Сферические кони в вакууме это круто, но заглянем в реальный мир. Вот что есть в доке мускула про FILE privilege, расскажи с обоснованием какие проблемы ты видишь из этого текста, а самое главное, как отсюда следует обсуждаемый эксплойт. The FILE privilege gives you permission to read and write files on the server host using the LOAD DATA INFILE and SELECT ... INTO OUTFILE statements and the LOAD_FILE() function. A user who has the FILE privilege can read any file on the server host that is either world-readable or readable by the MySQL server. (This implies the user can read any file in any database directory, because the server can access any of those files.) The FILE privilege also enables the user to create new files in any directory where the MySQL server has write access. As a security measure, the server will not overwrite existing files.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	39. "Обновление MariaDB с устранением zero-day уязвимости,..."	+2 +/–
	Сообщение от Аноним (-), 03-Дек-12, 23:33
	Не мечите бисер перед непогрешимыми всезнайками. Это у них по молодости, что быстро проходит.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	61. "Обновление MariaDB с устранением zero-day уязвимости,..."	–2 +/–
	Сообщение от AlexAT (ok), 04-Дек-12, 07:15
	> implies the user can read any file in any database directory ... > privilege also enables the user to create new files in any > directory where the MySQL server has write access. As a security Этого уже достаточно, чтобы не включать данную привилегию.
	Ответить \| Правка \| К родителю #33 \| Наверх \| Cообщить модератору


	72. "Обновление MariaDB с устранением zero-day уязвимости,..."	+1 +/–
	Сообщение от angra (ok), 04-Дек-12, 13:37
	Понятно, встретил слово security и испытал приступ медвежьей болезни. А так сладко пел про тщательное изучение.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	29. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от arisu (ok), 03-Дек-12, 22:52
	> Да тут не важно — направо или налево. Просто любой нормальный человек, > если ему понадобится что-то включить, то он это сделает и просто > проверит — работает или нет. Если мне понадобится включить «FILE», то > я его просто включу. И только если оно не заработает так > как мне надо, тогда только полезу в документацию смотреть причины такого > поведения. я надеюсь, ты админишь только локалхост. если вдруг — нечаянно — ты работаешь, например, админом у какого-нибудь хостера, то скажи название, пожалуйста. нет, мне не чтобы жаловаться, мне чтобы случайно не вляпаться.
	Ответить \| Правка \| К родителю #27 \| Наверх \| Cообщить модератору


	44. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от Etch (?), 03-Дек-12, 23:47
	Переход на личности? Не волнуйтесь, не вляпаетесь, моя компания IT-услуг не оказывает. Вернее - вляпываться будете постоянно (по своему опыту сужу), ибо такие крутые админы только в сказках обитают и работают только за соответствующую (сказочную) зарплату.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	46. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от arisu (ok), 04-Дек-12, 00:01
	> Не волнуйтесь, не вляпаетесь, моя компания IT-услуг не оказывает. счастье-то какое.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	37. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от all_glory_to_the_hypnotoad (ok), 03-Дек-12, 23:22
	> А так, чтоб читать всю документацию от корки до корки и постоянно держать всё это в голове - я таких людей не встречал вообще ты не прав. Админ, особенно ДБАшник, обязан это делать. Т.е. как минимум читать документацию по незнакомым моментам. Но чем проще и консистентнее дизайн системы, тем меньше шансов ошибиться, потому и > Просто пишите так, чтоб было безопасно by design, и чтобы случайно отстрелить себе что-то было невозможно.
	Ответить \| Правка \| К родителю #27 \| Наверх \| Cообщить модератору


	41. "Обновление MariaDB с устранением zero-day уязвимости,..."	+1 +/–
	Сообщение от Etch (?), 03-Дек-12, 23:37
	>> А так, чтоб читать всю документацию от корки до корки и постоянно держать всё это в голове - я таких людей не встречал > вообще ты не прав. Админ, особенно ДБАшник, обязан это делать. Т.е. как > минимум читать документацию по незнакомым моментам. Вот признайтесь честно, кто знал про эту уязвимость или хотя бы про опцию secure-file-priv и что её надо обязательно включать и настраивать если кому-то даёте привилегии "FILE". Интересно, много таких? Задним-то умом мы все сильны.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	43. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от all_glory_to_the_hypnotoad (ok), 03-Дек-12, 23:46
	причём тут, млять, "знал"? 'обязан узнать', особенно когда речь идёт о какой-то заведомо странной хренотени типа "FILE".
	Ответить \| Правка \| Наверх \| Cообщить модератору


	47. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от Etch (?), 04-Дек-12, 00:18
	> причём тут, млять, "знал"? 'обязан узнать', особенно когда речь идёт о какой-то > заведомо странной хренотени типа "FILE". Ага, вот и начинается - не знал, но обязан узнать. Обязан, конечно, если тебе за это деньги платят. Вот только в документации про это - сюрприз - в ожидаемом месте ни слова: http://dev.mysql.com/doc/refman/5.6/en/grant.html И в описании про эту опцию тоже не особо много написано (это если ещё найдёшь её): --secure-file-priv=name Limit LOAD DATA, SELECT ... OUTFILE, and LOAD_FILE() to files within specified directory Не, если постоянно админишь линуксы с мускулами, то наверняка такие вещи будешь знать и по-любому включишь эту опцию (опять же, если найдёшь) даже просто чтоб спокойней было. Если это твоя специализация. А если это студент на полставки 10 компов с виндами эникеет плюс сервер с сайтом компании? Жизнь ведь не чёрно-белая, она намного многообразнее. ЗЫ: Нет, мне всё-таки стало очень интересно узнать - сколько людей из считающих, что CVE-2012-5613 не является уязвимостью (или считающих себя крутым админом), знали об этом подводном камне. Ну или если не знали за ненадобностью, то алгоритм ваших действий в случае если надо дать кому-то привилегии "FILE". - По пунктам: начну отсюда, потом почитаю там-то, и в конце включу такую-то опцию. Только чур честно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от arisu (ok), 04-Дек-12, 00:35
	> А если это студент на полставки 10 компов с виндами эникеет плюс сервер с > сайтом компании? то там столько дырок, что одной больше, одной меньше…
	Ответить \| Правка \| Наверх \| Cообщить модератору


	58. "Обновление MariaDB с устранением zero-day уязвимости,..."	+1 +/–
	Сообщение от Etch (?), 04-Дек-12, 01:21
	Дык, не удивительно. При таком то отношении разработчиков...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	64. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от arisu (ok), 04-Дек-12, 09:38
	> Дык, не удивительно. При таком то отношении разработчиков… каком «таком»? тебе в описании что написали? http://www.opennet.ru/openforum/vsluhforumID3/87589.html#61 не ясно, чем это чревато? тогда да, разработчики забыли позаботиться об олигофренах.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	69. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от myhand (ok), 04-Дек-12, 12:55
	>> ага. а то админы — они такие: раздают права направо и налево. > Да тут не важно - направо или налево. Просто любой нормальный человек, > если ему понадобится что-то включить, то он это сделает и просто > проверит - работает или нет. К счастью, в приличных местах таких "нормальных" апологетов метода тыка - гонят ссаной тряпкой. Рано или поздно. > А так, чтоб читать всю документацию от корки до корки и постоянно > держать всё это в голове "Постоянно держать все в голове" - не нужно. Что нужно - прочитать документацию по опции полностью, раз уж собрался ей воспользоваться. Перед включением.
	Ответить \| Правка \| К родителю #27 \| Наверх \| Cообщить модератору


	81. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от Elhana (ok), 17-Дек-12, 18:17
	В большинстве случаев file + sql injection = shell с правами web сервера. Всяких вам творческих успехов с таким подходом к работе! Если пользователям файлы заливать на сайт надо - тоже просто анонимный фтп доступ откроете в директорию сайта и пусть скрипты заливают? )
	Ответить \| Правка \| К родителю #27 \| Наверх \| Cообщить модератору


	82. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от Etch (?), 18-Дек-12, 06:32
	> В большинстве случаев file + sql injection = shell с правами web > сервера. Кто сказал, что file будет даваться веб-приложению? Наверное это юмор из того же разряда, что и про анонимный фтп. И вообще-то изначально речь шла не про админов, а про программистов, которым лень исправлять уязвимости. Это потом набежали админы локалхостов, которым достаточно всретить слово security, чтобы наложить в штаны и никогда не использовать подобных привилегий.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	25. "Обновление MariaDB с устранением zero-day уязвимости, затраг..."	+1 +/–
	Сообщение от myhand (ok), 03-Дек-12, 22:34
	>> А почему нет? Для пользователя с правами администратора - это вполне >> имеет смысл. > Пусть делают отдельную опцию и в документации напишут чем это опасно. Написали чем опасно. Около уже существующей опции FILE. Я даже выше ткнул носом местных "чукч" в пост. > Кому это действительно понадобится (а таких - меньшинство), те включат и будут > точно знать зачем это надо и чем чревато. Если сейчас эти буратины (не буду указывать пальцем) не сумели прочитать документацию по гранту FILE - почему тогда сумеют? > В общем, с точки зрения сисадмина - полнейший бред. А с точки зрения системного администратора - вполне нормальное и документированное поведение.
	Ответить \| Правка \| К родителю #14 \| Наверх \| Cообщить модератору


	38. "Обновление MariaDB с устранением zero-day уязвимости, затраг..."	+/–
	Сообщение от Etch (?), 03-Дек-12, 23:25
	> Написали чем опасно. Около уже существующей опции FILE. Я даже > выше ткнул носом местных "чукч" в пост. http://dev.mysql.com/doc/refman/5.6/en/grant.html Пальцем покажете где написано? А ведь это та самая страница, на которую я полезу почитать про эту опцию перед её включением. А ведь многие и туда не полезут, в лучшем случае на форумах прочитают готовую команду. >> Кому это действительно понадобится (а таких - меньшинство), те включат и будут >> точно знать зачем это надо и чем чревато. > Если сейчас эти буратины (не буду указывать пальцем) не сумели прочитать документацию > по гранту FILE - почему тогда сумеют? Во-первых, большинству это просто не понадобится; во-вторых в описании опции просто обязано быть написано что она делает и, даже если не писать специально о её опасности, то даже последний даун заподозрит какой-то подвох - а зачем это сделали отдельную опцию и действительно ли мне нужно пускать этого юзера в каталог с данными; в-третьих - можно обойтись вообще без опции, а сделать простую логику: если уже имеешь права админа, то флаг тебе в руки, а если не имеешь, то и нефиг тебе там делать. Вроде я уже писал об этом... >> В общем, с точки зрения сисадмина - полнейший бред. > А с точки зрения системного администратора - вполне нормальное и документированное поведение. Удачных поисков в документации (см. выше) и прокачке скиллов в определении мест, в которых разработчики подложили вам очередную свинью. Задокументировать можно любую глупость, умнее и нормальнее она от этого не станет. А умные вещи, кстати, и без документации очевидны.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	48. "Обновление MariaDB с устранением zero-day уязвимости, затраг..."	–2 +/–
	Сообщение от ZloySergant (ok), 04-Дек-12, 00:23
	>А ведь это та самая страница, на которую я полезу почитать про эту опцию перед её включением. Потому что де^Wчукча писатель, а не читатель. На, читай. Сначала http://dev.mysql.com/doc/refman/5.6/en/privileges-provided.h... , после которого у админа должно начаться чесание задницы предвещающей неприятности потом сцылкой оттуда http://dev.mysql.com/doc/refman/5.6/en/string-functions.html... , где есть намек на то что попаболи можно избежать; и, уже http://dev.mysql.com/doc/refman/5.6/en/server-system-variabl... Впрочем, если последний раздел админ не читал, то он уже не одмын и не чукча, а - дебил.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	57. "Обновление MariaDB с устранением zero-day уязвимости, затраг..."	+/–
	Сообщение от Etch (?), 04-Дек-12, 01:20
	Минус за оскорбления. Итак, подведём итоги. Чем опасна привилегия "FILE" (то, что я и просил показать, а не просто ссылку на опцию) - нигде не написано. О необходимости запрета доступа к папке с данными - не написано. О возможном повышении привилегий - не написано. Ссылка на нужную опцию находится в трёх кликах.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	60. "Обновление MariaDB с устранением zero-day уязвимости, затраг..."	+/–
	Сообщение от Kot (??), 04-Дек-12, 04:50
	> Минус за оскорбления. Коллеги, срач можно заканчивать. Вот я - типичный быдлоадмин, если рассматривать меня, как DBA. Про уязвимости в мускуле узнал вот только сейчас, да и то, скорее - случайно. Ради интереса полез поглядел права на десятке мелких серверов, File нет ни у кого, кроме root-a. Что логично: мускуль я рассматриваю как пассивное хранилище, само ничего не умеющее. И вообще, когда говорят о мускуле, быдлоадмин имеет в ввиду php+mysql. Ну или Perl/Python/...+mysql. Триггеры и хранимые процедуры на мускуле неудобны (сравниваю с другими БД), потому ими я особо и не пользуюсь, успешно заменяя скриптами на P... Также интуитивно понятно, что File - "завышенная" привелегия, т.к. 1) Эта глобальная привелегия. 2) По дефолту юзер её не получает. Ну и достаточно прочитать, что мы с этого имеем - доступ к файлам системы из БД, чтобы устрашиться (цена sql-injection повышается на порядок) и обойти стороной.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	66. "Обновление MariaDB с устранением zero-day уязвимости,..."	+/–
	Сообщение от arisu (ok), 04-Дек-12, 09:42
	> Ну и достаточно прочитать, что мы с этого имеем - доступ к > файлам системы из БД, чтобы устрашиться как видишь, достаточно не всем: некоторые персонажи категорически отказываются включать мозг. уж не знаю, потому ли, что устройство дорогое, жалко лишний раз использовать, или по какой другой причине.
	Ответить \| Правка \| Наверх \| Cообщить модератору