SQL-инъекция на сайте ICQ.COM

Из сообщения в комментариях, ваш покорный слуга узнал про имеющуюся уязвимость типа "Внедрение операторов SQL" на сайте icq.com. Помимо самого явления SQL-инъекции на подобном ресурсе, интересен также тот факт, что информация об уязвимости была опубликована около двух лет назад [1], но уязвимость до сих пор является эксплуатабельной.

@@version: Adaptive Server Enterprise/15.0.1/EBF 14210 ESD#2/P/x86_64/Enterprise Linux/ase1501/2400/64-bit/OPT/Fri Jan 12 17:45:01 2007
@@boottime: Jun 25 2008 3:06PM
@@errorlog: /home/sybase/logs/errorlog_IWEBDB_M04A_SYB
@@language: us_english
@@servername: IWEBDB_M04A_SYB
db_name(): msgboard
user_name(): mb_read

База данных Sybase ASE v.15.0.1 EBF 14210 под управлением Linux (x86_64). Сервер последний раз перезагружался 25 июня 2008 г. Пользователь (mb_read) с достаточно урезанными привилегиями, вследствие чего уязвимость критичности Urgent снижается до уровня High - проведение атак на клиентов. Что собственно и было предложено Scipio (автором находки). В силу озвученных ограничений исследователь предложил сценарий ее использования для осуществления фишинг атак [2] на пользователей ICQ.

Проверяя уязвимость немного глубже было выяснено, что права пользователя mb_read не такие уж и ограниченные, как это кажется на первый взгляд. В частности, пользователь mb_read, обладает привилегиями на чтение системных таблиц, содержащих хешированные пароли привилегированных пользователей СУБД (eq sysdba).

Таким образом, в настоящее время, помимо активной уязвимости типа Cross-Site Scripting, удачное развитие вектора атаки злоумышленником может легко оставить нас всех без красивых аськиных номерков :)