Les sites de MySQL victimes d'une attaque informatique
Par injection SQL

Le , par Katleen Erna, Expert éminent sénior
Les sites de MySQL victimes d'une attaque informatique, par injection SQL

Les sites officiels de MySQL (le .com, mais aussi ses versions françaises, allemandes, italiennes et japonaises) ont été la cible d'attaques informatiques.

Les pirates ont procédé par injection SQL (le comble!) et ont ainsi dérobé un listing des adresses e-mail des employés, ainsi que leurs mots de passe, avec en prime des informations confidentielles sur les consommateurs.

De plus, le code d'accès au WordPress du directeur de management des produits a été saisi, il faut dire qu'il ne comprenait que... 4 chiffres ! Et certains comptes avaient des mots de passe faits de seulement deux caractères.

Malgré tout, ce ne sont pas ces mots de passe faibles qui ont été utiliser pour compromettre les sites, mais des failles dans l'implémentation des sites en question (et donc non présentes dans MySQL lui-même).

Les attaques ont aussi visé les sociétés propriétaires de MySQL (Sun et Oracle), mais avec un succès partiel. Les e-mails ont été récupérés dans les bases de données, mais pas les mots de passe.

Source : Le blog de Sophos


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de H.Pascal H.Pascal - Membre régulier https://www.developpez.com
le 30/03/2011 à 20:29
Mais quelle bande de tâches quand même, comment c'est encore possible ça !
Avatar de Ev3r10st Ev3r10st - Membre régulier https://www.developpez.com
le 30/03/2011 à 20:30
ah ah la blague
Avatar de Oishiiii Oishiiii - Membre éprouvé https://www.developpez.com
le 30/03/2011 à 20:39
Le plus grave c'est l'injection SQL ou le stockage des mots de passe en clair ?
Avatar de guilhem91 guilhem91 - Membre régulier https://www.developpez.com
le 30/03/2011 à 21:25
La blague ! Ça ressemblerait presque à un poisson d'avril un peu en avance
Avatar de Aiekick Aiekick - Membre expérimenté https://www.developpez.com
le 30/03/2011 à 21:58
c'est pas forcement les développeur d’application qui en sont les meilleurs utilisateurs.
Avatar de pi-2r pi-2r - Rédacteur https://www.developpez.com
le 30/03/2011 à 22:40
c'est vraiment un comble...
Avatar de Code62 Code62 - Membre éclairé https://www.developpez.com
le 30/03/2011 à 23:22
Epic fail
Avatar de nu_tango nu_tango - Membre averti https://www.developpez.com
le 31/03/2011 à 1:05
Voir aussi http://seclists.org/fulldisclosure/2011/Mar/309

C'est vrai que c'est pas très glorieux pour un site de cette renommée... ça doit faire 5 ans que j'ai pas fais de php mais un simple
Code : Sélectionner tout
$id = intval($_GET['id'])
avant traitement aurait empêché ce désastre non ?
Avatar de ratomms ratomms - Membre actif https://www.developpez.com
le 31/03/2011 à 8:59
ça alors, c'est vraiment comble. Pourquoi est-ce possible?
Avatar de Flaburgan Flaburgan - Modérateur https://www.developpez.com
le 31/03/2011 à 9:16
L'attaque a été revendiquée et c'était un white hat, ou bien les développeurs ont du souci à se faire ?
Offres d'emploi IT
Architecte systèmes études & scientifiques H/F
Safran - Ile de France - Vélizy-Villacoublay (78140)
Architecte et intégrateur scade/simulink H/F
Safran - Ile de France - Vélizy-Villacoublay (78140)
Ingénieur développement fpga (traitement vidéo) H/F
Safran - Ile de France - 100 rue de Paris 91300 MASSY

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil