לפרטים נוספים:

https://community.rapid7.com/commun...y-flaw-in-mysql

יש לציין, שבברירת מחדל, MySQL לא מאזין על ממשקי רשת פומביים, ככה שהבעייה אמורה להיות מוגבלת למשתמשים שכבר יש להם גישה למכונה - אם ברירת המחדל לא שונתה. בכל מקרה, רצוי לתקן :-)

באופן כללי, מי שפותח שרתים שאין צורך לפתוח כלפי האינטרנט, כדאי שיחשוב שוב על מה הוא עושה. גם אם ישנה דרישה לגישה ע"ג הרשת, ניתן להגביל חיבורים כך שיתאפשרו רק מה IP של המחשב שממנו צריך להתחבר, ולא מכל ה 4 מליארד שיש באינטרנט (או יותר, כשיגיע IPv6 במהרה בימינו...)

בחלק ניכר מהפלטפורמות הבעייה לא תשפיע. המושפעים העיקריים הם אנשים שמריצים הפצות לא פופולאריות לשרתים או גירסאות לא יציבות, למעט... אובונטו, שמושפעת בכל גירסאות ה 64 ביט שלה (כלומר סביר להניח כל אובונטו שמותקן על כל שרת מודרני), שלצערי נהייתה פופולארית בשרתים, לפחות בישראל. ותזכרו מי תמיד היה נגד אובונטו כהפצה בכלל, ובשרתים, בפרט . ההפצה הבינארית הרשמית של MySQL וההפצות מבית רדהאט, CentOS, דביאן יציב, ג'נטו, סוזה ו FreeBSD, כולן אינן מושפעות.

מדליק. אבל מי משאיר את פורט 3306 פתוח???

פורט 3306 לא "מושאר פתוח", אלא "נפתח". כפי שכתבתי בהודעה הפותחת - במקור אין בכלל האזנה כלפי האינטרנט (ובגירסת לא-חלונות, שזה, כנראה, אחוז ניכר מאיפה ש MySQL רץ? אין האזנה אפילו ל localhost, אלא עובדים דרך Unix Socket). בכל זאת לא מדובר ב MS-SQL Server, יש להם שמץ כללי ב Best Practices לאבטחה... הם אפילו מזהירים אותך לגבי סיסמת ברירת מחדל ריקה (מי אמר תולעת שמשתמשת ב "sa", ולא קיבל?)

ובכל זאת - בעייה זו בעייה, ולכן מזהירים את מאית הפרומיל של האנשים שזה אולי משפיע עליהם, ולא מחכים שתהיה תולעת in the wild כדי להצהיר על קיום הבעייה, כפי שעושה חברת תוכנה אחרת, ולא ננקוב בשמות.

נמאס לכם לזכור סיסמאות? לחצו כאן!