MySQL.com vulnerado y los passwords publicados

MYSQL.com (el sitio oficial del gestor de base de datos MySQL) ha sido vulnerado por una conocida como blind SQL injection o inyección de codigo sql a ciegas. Un anuncio ha sido publicado hoy 27 de marzo de 2011 donde se explica (full disclosure) como es que los crackers lograron dumpear parte de la estructura de la base de datos.

Al parecer los atacantes lograron explotar la vulnerabilidad en la aplicación de clientes que maneja el portal y de esta forma tener acceso a la base de datos interna, tablas, contraseñas, nombres de usuario.

Se recomienda que si tienes una cuenta en el portal de MySQL.com cambies inmediatamente la contraseña (especialmente si es la que usas en todos los demás sitios jeje).

La manera en que los administradores de seguridad se dieron cuenta del problema fue debido a que los crackers publicaron una lista de usuarios y contraseñas en diversos foros del underground informático, y claro algunas personas comenzaron a usar las cuentas de usuario para sacar provecho.

echando un vistazo a la lista de usuarios y contraseñas la verdad que su complejidad deja mucho que desear, por ejemplo, había una contraseña de 4 digitos de un director director ejecutivo de una importante empresa mundial x’D.

La gente de MySQL todavía no han dicho nada acerca de este ataque, pero en cuanto sepa mas sobre esto lo posteo.

Los hackers rumanos TinKode y Ne0h publicaron un volcado de credenciales robadas de MySQL.com, MySQL.fr, MySQL.de, MySQL.it y www-jp.mysql.com en paste.bin. Entre los datos se incluye la pobre contraseña de 4 dígitos que Robin Schumacher, director de gestión de productos, utilizaba en su cuenta de WordPress para blogs.mysql.com.

Pueden leer el full disclosure aqui

salu2