Oracle MySQL Enterprise Monitorの複数の脆弱性（2021年1月CPU）
high Nessus プラグイン ID 145538
Language:
概要
リモートホストは、複数の脆弱性の影響を受けます説明
リモートホストにインストールされているMySQL Enterprise Monitorは、8.0.23より前の8.0.xです。したがって、2021年1月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。- Oracle MySQLのMySQL Enterprise Monitor製品における脆弱性（コンポーネント：Service Manager（Apache Commons BeanUtils））。影響を受けるサポート対象のバージョンは8.0.22以前です。容易に悪用できる脆弱性により、ネットワークアクセス権を持つ認証されていない攻撃者が、HTTPSを介してMySQL Enterprise Monitorを侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、一部のMySQL Enterprise Monitorのアクセス可能データに対する認証されていない更新、挿入、削除、MySQL Enterprise Monitor のアクセス可能データのサブセットに対する承認されていない読み取りアクセス、MySQL Enterprise Monitorの部分的サービス拒否（部分的DOS）を引き起こす承認されていない機能につながる可能性があります。（CVE-2019-10086）
- Oracle MySQLのMySQL Enterprise Monitor製品における脆弱性（コンポーネント：Service Manager（Spring Framework））。影響を受けるサポート対象のバージョンは8.0.22以前です。悪用が難しい脆弱性ですが、権限を多く持たない攻撃者がHTTPSを介してネットワークにアクセスし、MySQL Enterprise Monitorを侵害する可能性があります。
攻撃が成功するには、攻撃者以外の人物の関与が必要であり、MySQL Enterprise Monitorにある脆弱性であっても、攻撃がその他の製品に重大な影響を与える可能性があります。
この脆弱性に対する攻撃が成功すると、重要なデータまたはすべてのMySQL Enterprise Monitorのアクセス可能データに対する認証されていない作成、削除、変更アクセス、さらにMySQL Enterprise Monitorのアクセス可能データのサブセットに対する承認されていない読み取りアクセスにつながる可能性があります。（CVE-2020-5421）
- Oracle MySQLのMySQL Enterprise Monitor製品における脆弱性（コンポーネント：Service Manager（Spring Security））。影響を受けるサポート対象のバージョンは8.0.22以前です。容易に悪用できる脆弱性により、ネットワークアクセス権を持つ権限の低い攻撃者が、HTTPSを介してMySQL Enterprise Monitorを侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、権限なく重要なデータにアクセスしたり、MySQL Enterprise Monitorがアクセスできるすべてのデータに完全にアクセスしたりする可能性があります。（CVE-2020-5408）
Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
January 2021 Oracle Critical Patch Updateアドバイザリに従い、適切なパッチを適用してください。参考資料
プラグインの詳細
深刻度: High
ID: 145538
ファイル名: mysql_enterprise_monitor_8_0_23.nasl
バージョン: 1.5
タイプ: remote
ファミリー: CGI abuses
公開日: 2021/1/28
更新日: 2023/11/1
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 5.5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2019-10086
CVSS v3
リスクファクター: High
基本値: 7.3
現状値: 6.4
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:oracle:mysql_enterprise_monitor
必要な KB アイテム: installed_sw/MySQL Enterprise Monitor
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2021/1/19
脆弱性公開日: 2019/8/20
参照情報
CVE: CVE-2019-10086, CVE-2020-5408, CVE-2020-5421
IAVA: 2021-A-0038-S