Web Site de #MySQL Atacado con #XSS
Atacan el sitio web de MySQL a través de un ataque de XSS
Como bien dice el dicho “En casa del Herrero Azadón de palo” .
Es para mucho increible esta noticia pero desafortunadamente así lo es, el sitio web de MySQL fue objeto de un ataque a través de una vulnerabilidad de inyección de código SQL que ya era de conocimiento de ellos desde principios del 2011.
Se trato de un fallo en el código de la aplicación web mas no de la base de datos, deibo a que MySQL es una aplicacion muy popular de base de datos de código abierto para ser aplicada en desarrollos Web, lo cual la vuelve un blanco perfecto para estos tipos de ataques.
El ataque se atribuye a TinKode y Ne0h del grupo Rumano Slacker.Ro quienes fueron los responsables del ataque.
Los datos extraídos han sido publicados en pastebin.com.
Además del sitio principal TinKode y Ne0 replicaron su ataque en las versiones localizadas en MySQL.com.
Los datos expuestos en el sitioastebin.com, corresponden a las credenciales de los usuarios del servidor MySQL y de la base de datos principal del sitio.
Entre las credenciales pueden observarse nombres de usuario, contraseñas hasheadas, correos y direcciones; así como también los hashes que han sido publicados en texto plano.
Sorprende encontrar contraseñas tan débiles.
Se da como lo indique en un inicio, que el sitio de MySQL presentaba una vulnerabilidad de cross-site scripting (XSS).
Dicha vulnerabilidad se hizo pública a través de Internet y Twitter en el mes de enero y no fue solucionada.
Con esto una vez mas no damos cuenta que no importa que tan bueno seas si con un solo descuido dejamos las puertas abiertas a los que pueden violar la seguridad.
Bueno les dejo este post para su analisis y evaluación, no dejen de dejar sus comentarios.
Reciban un cordial Saludo.
Victor Miranda
Professional Ethical Hacker, Pentester & Forensics Investigator MPCS, CEH v8, CSSP, CICP-CICAP HTCIA Member & ISECOM Member Twitter: @victormirandamx