De bekende beveiligingsonderzoeker Kingcope heeft een nieuwe aanval op MySQL gedemonstreerd. Vorige week kwam de onderzoeker al met een exploit voor een beveiligingslek waardoor het mogelijk voor een gebruiker is om beheerdersrechten te krijgen. De nieuwste aanval bestaat uit het snel kraken van MySQL-wachtwoorden.

Het gebruik van brute-force om wachtwoorden te kraken is niet nieuw, maar Kingcope heeft een manier gevonden om dit te versnellen. Normaliter wordt elk wachtwoord aan het inlogproces getoond, waarna de aanvaller het volgende wachtwoord kan proberen. Dat kost veel tijd.

De methode van Kingcope maakt het mogelijk om 5.000 wachtwoorden per seconde over het netwerk te testen, als de aanvaller toegang tot de database heeft. Hiervoor volstaat een account zonder enige rechten waarmee de aanvaller op de aan te vallen server inlogt.

Wachtwoord
Het script van Kingcope gebruikt de al opgezette verbinding om andere wachtwoorden voor bijvoorbeeld het beheerdersaccount te testen. Tegenover de beheerders van MySQL laat hij weten dat ze dit niet hoeven te patchen. "Het lijkt op een kleine bug, waarschijnlijk is die gedocumenteerd", meldt hij op de Full-disclosure mailinglist.

Tijdens de demonstratie wist hij het wachtwoord 'pass' voor de gebruiker 'crackme' in een aantal seconden te kraken. Hiervoor werden zo'n 100.000 wachtwoorden in 20 seconden getest.