MySQL 보안 조치 권고 요청 (중요)

[koyejom]

안녕하십니까?

(주)스마일서브 기술지원팀(1688-4879 / tech@smileserv.com) 입니다.

MySQL DB를 사용하시는 기업(고객사)의 서버에 심각한 보안버그가 발견되어 이를 알려드리고자 공지 드립니다.

이번에 발표된 CVE-2012-2122 버그는 심각한 취약점으로써 기업(고객사)의 서버의 MySQL DB서버에 접근하여 개인정보가 담겨져 있는 DB의 데이타 내용이나 그외 중요한 데이타가 유출 될 수 있는 버그이오니 아래 내용을 참고하시어 조속히 패치나 버전 업그레이드를 통해 반드시 해결하시고 기업(고객사)의 소중한 데이타를 안전하게 지키시기 바랍니다.

감사합니다.


< MySQL 보안버그 안내 >

1. 취약점내용
memcmp 함수를 이용하여 인증통과 버그로인한 불법적인 DB접근 가능 (심각)
CVE-2012-2122 버그로 명명 되었습니다.
이 버그는 Mysql에 초당 300번의 대입공격을 통해 mysql DB에 접근 제어 할 수 있습니다.
MySQL 에서 제공한 보안패치를 받아 재컴파일 혹은 버그가 발생되는 않은 버전을 설치해야만 문제를 해결할 수 있습니다.


2. 취약한 버전
MySQL 5.1.61 이하
MySQL 5.2.11 이하
MySQL 5.3.5 이하
MySQL 5.5.22 이하


3. 안전한 버전
MySQL 5.1.62 이상
MySQL 5.2.12 이상
MySQL 5.3.6 이상
MySQL 5.5.23 이상


< MySQL 버전 업그레이드 방법 >

1. 다운로드
http://www.mysql.com/downloads/
http://mirror.switch.ch/ftp/mirror/mysql/Downloads/
http://www.mirrorservice.org/sites/ftp.mysql.com/Downloads/


2-1. Binary 설치
별다른 설치과정없이 압축해제후 사용가능


2-2. Source 설치

[euckr 사용시]
압축해제후
./configure --prefix=/usr/local/mysql --localstatedir=/usr/local/mysql/data --with-charset=euckr --with-mysql-user=mysql --with-extra-charsets=all --with-plugins=max && make && make install

[utf8 사용시]
압축해제후
./configure --prefix=/usr/local/mysql --localstatedir=/usr/local/mysql/data --with-charset=utf8 --with-mysql-user=mysql --with-extra-charsets=all --with-plugins=max && make && make install


업그레이드 기술지원이 필요하신 고객분들께서는 온라인기술지원 작업의뢰를 통해 기술지원을 받으실 수 있습니다. (로그인 필요)
http://www.1000dedi.net/rew1/login_form.html?next=/rew1/user_page/m8_s02.php

기사 : http://www.bloter.net/archives/114100
기사 원문 : http://seclists.org/oss-sec/2012/q2/493


3. 기타 다른방법 (버전업이 힘들경우 반드시 현버전을 유지 해야 하는경우)

버그 픽스 리포트 안내
http://bazaar.launchpad.net/~mysql/mysql-server/5.1/revision/3560.10.17/sql/password.c#sql/password.c

sql/password.c 파일을 수정하여 컴파일 하시면 됩니다. (534번 라인 삭제후 아래라인 추가)

- 수정전 534: #return memcmp(hash_stage2, hash_stage2_reassured, SHA1_HASH_SIZE);
- 수정후 534: return test(memcmp(hash_stage2, hash_stage2_reassured, SHA1_HASH_SIZE));



(주)스마일서브 고객기술지원팀

COPYRIGHT ⓒ 2003 1000dedi.net ALL RIGHTS RESERVED.
Mail : security@smileserv.com, Fax : 031-701-9503
Tel : 과금부서: 1688-4889, 영업부서 : 1688-4849, 기술부서 : 1688-4879