MySQL 5.7.x < 5.7.28の複数の脆弱性(2019年10月CPU)

high Nessus プラグイン ID 130026

概要

リモートのデータベースサーバーは、複数の脆弱性の影響を受けます。

説明

リモートホストで実行されているMySQLのバージョンは、5.7.28より前の5.7.xです。したがって、2019年10月のCritical Patch Updateアドバイザリに記載されているとおり、下記に示す主な3つの脆弱性を含む複数の脆弱性の影響を受けます。

- Oracle MySQLのMySQL Server製品における脆弱性(コンポーネント:サーバー: オプティマイザーおよびPS)にあるサービス拒否の脆弱性の影響を受けます。容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害する可能性があります。これらの脆弱性の悪用に成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする(完全なDOS)可能性があります。(CVE-2019-2946、CVE-2019-2974)

- 権限のないユーザーまたはプログラムが、既知の権限のないパス(C: /usr/local/)にコードと設定ファイルを置き、curl <= 7.65.1に呼び出し時に(openssl「エンジン」として)コードを自動的に実行させる可能性があります。
そのcurlが権限のあるユーザーによって呼び出された場合は、指定されたアクションをすべて実行する可能性があります。(CVE-2019-5443)

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

MySQLバージョン5.7.28以降にアップグレードしてください。

参考資料

http://www.nessus.org/u?41ee55d1

http://www.nessus.org/u?b370bc74

プラグインの詳細

深刻度: High

ID: 130026

ファイル名: mysql_5_7_28.nasl

バージョン: 1.7

タイプ: remote

ファミリー: Databases

公開日: 2019/10/18

更新日: 2022/10/21

設定: パラノイドモードの有効化

サポートされているセンサー: Frictionless Assessment Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

Base Score: 5

Temporal Score: 3.7

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS スコアのソース: CVE-2019-2924

CVSS v3

リスクファクター: High

Base Score: 7.8

Temporal Score: 6.8

ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

CVSS スコアのソース: CVE-2019-5443

脆弱性情報

CPE: cpe:/a:oracle:mysql

必要な KB アイテム: Settings/ParanoidReport

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2019/10/14

脆弱性公開日: 2019/10/15

参照情報

CVE: CVE-2019-2910, CVE-2019-2911, CVE-2019-2914, CVE-2019-2922, CVE-2019-2923, CVE-2019-2924, CVE-2019-2938, CVE-2019-2946, CVE-2019-2960, CVE-2019-2974, CVE-2019-2993, CVE-2019-5443, CVE-2020-2752

BID: 108881

IAVA: 2020-A-0143-S