https://opennet.dev/openforum/vsluhforumID3/109543.html Давид Голански (Dawid Golunski) продолжил публикацию исследований безопасности MySQL. В сентябре им были опубликованы (https://www.opennet.ru/opennews/art.shtml?num=45127) сведения об уязвимости в сервере MySQL, позволяющей повысить свои привилегии до пользователя root. Техника атаки была ограничена пользователями с правами FILE, но было сказано, что имеется метод обхода данного ограничения и атака может быть совершена любым непривилегированным пользователем СУБД. Спустя месяц Давид раскрыл (http://legalhackers.com/advisories/MySQL-MariaDB-PerconaDB-PrivEsc-Race-CVE-2016-6663-OCVE-2016-5616-Exploit.html) информацию о новой уязвимости (CVE-2016-6663 (https://security-tracker.debian.org/tracker/CVE-2016-6663)), позволяющей обойти систему ограничения привилегий MySQL.<br><br><br><br>Уязвимость затрагивает MySQL и производные продукты, такие как MariaDB и Percona Server, и позволяет локальному пользователю СУБД с типовыми правами на выполнение операций CREATE, INSERT и SELECT получить полномочия администратора СУБД (об https://opennet.dev/openforum/vsluhforumID3/109543.html#47 Thu, 03 Nov 2016 13:06:26 GMT &gt; На адекватных задачах мускулями лучше не пользоваться, конечно же.<br><br>Кстати, на нашу осеннюю конференцию не добрались коллеги из Postgres Pro, но приехал человек и рассказал про MySQL довольно неожиданные случаи (по крайней мере для меня): http://0x1.tv/201610012<br><br>Контакт, если что, там же на страничке категории имени его -- "я только разместил объяву" (ц) ;-)<br> https://opennet.dev/openforum/vsluhforumID3/109543.html#46 Thu, 03 Nov 2016 12:25:05 GMT Да он уныл и печален, однако у него есть хитрые юзкейсы, где он опережает в производительности. Представьте, что у вас есть процесс, который открыл одно соединение и шарашит туда сотни инсертов в секунду. И вот есть другой процесс который оттуда изредка, раз в 30 минут, делает объемные селекты с left join по соседним не менее усраным табличкам. Как говорится, для идиотской задачи нужен идиотский инструмент. Вот тут-то и приходит на выручку mysql c myisam, или чуть чуть удобнее, mariadb + aria, если таблички сделаны как-то так: CREATE TABLE LOL ... ROW_FORMAT=PAGE TRANSACTIONAL=0 PAGE_CHECKSUM=0;<br><br>Как раз отсутствие транзакционности в некоторых движках и ориентированность на тупой поток инсертов делает его хоть чем-то интересным. На адекватных задачах мускулями лучше не пользоваться, конечно же.<br> https://opennet.dev/openforum/vsluhforumID3/109543.html#45 Thu, 03 Nov 2016 12:17:26 GMT &gt;&gt; Этот "фкук" здесь в основном набрасывает в пользу либо конкретно некрософта,<br>&gt;&gt; либо запада в целом (как в теме про росовую морду для криптопро).<br>&gt; Скрепно.<br><br>Ну давайте свою почту -- перешлю из архива, проверите. Или сами понаблюдайте.<br><br>А то теговое мышление быстро обеспечивает туннельное видение, похоже.<br> https://opennet.dev/openforum/vsluhforumID3/109543.html#43 Thu, 03 Nov 2016 09:58:11 GMT &gt; Этот "фкук" здесь в основном набрасывает в пользу либо конкретно некрософта, либо <br>&gt; запада в целом (как в теме про росовую морду для криптопро). <br><br>Скрепно.<br> https://opennet.dev/openforum/vsluhforumID3/109543.html#41 Thu, 03 Nov 2016 07:52:40 GMT &gt;&gt; Уже перестали. Ты ж не пользуешся? ты последний из них пользовался.<br>&gt; Я считаю, что если что то <br>&gt; выглядит как фекалии, пахнет как фекалии, то это фекалии и есть, <br>&gt; пробовать на вкус не обязательно.<br><br>И кто же тебя нюхает, малыш?<br> https://opennet.dev/openforum/vsluhforumID3/109543.html#40 Thu, 03 Nov 2016 06:06:47 GMT &gt; Уже перестали. Ты ж не пользуешся? ты последний из них пользовался.<br><br>Я, кстати, никогда не пользовался MySQL. Я считаю, что если что то выглядит как фекалии, пахнет как фекалии, то это фекалии и есть, пробовать на вкус не обязательно.<br>А смердит MySQL приотвратно, скажу я вам.<br><br><br> https://opennet.dev/openforum/vsluhforumID3/109543.html#38 Thu, 03 Nov 2016 05:50:59 GMT Успокойтесь, тише тише. <br>Я вообще не рекомендую пользоваться дырявым софтом. <br>Но вам можно.<br> https://opennet.dev/openforum/vsluhforumID3/109543.html#36 Wed, 02 Nov 2016 22:34:15 GMT А вот и участник крестового похода на логику. В предыдущем посте для таких как ты отдельная приписка. Но все ваши издевательства над логикой фиг предусмотришь. Ок, добавляю, из изложенного в предыдущем посте никак не следует, что песочница для мускула является "НЕПРЕМЕННЫМ условием КОШЕРНОГО хостинга" или что она защищает от всех возможных уязвимостей. <br><br> https://opennet.dev/openforum/vsluhforumID3/109543.html#34 Wed, 02 Nov 2016 21:37:13 GMT Ну и к чему твой треп?<br>Держать мускул на отдельной машине - это никак НЕ ПАНАЦЕЯ. Да, это на какой-то процент улучшает безопасность. Но это не значит, что это НЕПРЕМЕННОЕ условие КОШЕРНОГО хостинга.<br>Ибо сейчас появятся предложения типа каждому юзеру по ВПСке и т.д. - вариантов реализации может быть невообразимое множество. <br>И что бы ты не возразил, это никак не будет значит, что ты самый предусмотрительный и вумный ;P<br>