Oracle MySQL Server (2023 年 4 月 CPU)

high Nessus プラグイン ID 174555

概要

リモートホストは、複数の脆弱性の影響を受けます

説明

リモートホストにインストールされている MySQL Server のバージョンは、2023 年 4 月の CPU アドバイザリに記載されている複数の脆弱性の影響を受けます。

- Oracle MySQL の MySQL Server 製品における脆弱性 (コンポーネント: サーバー: パッケージング (OpenSSL))。
影響を受けるサポート対象のバージョンは5.7.41以前および8.0.32以前です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく MySQL Server をハングさせたり、頻繁にクラッシュを繰り返させたりする可能性 (完全な DOS) があります。(CVE-2023-0215)

- Oracle MySQL の MySQL Server 製品における脆弱性 (コンポーネント: サーバー: パッケージング (cURL))。影響を受けるサポート対象のバージョンは 5.7.41以前および 8.0.32以前です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Server を侵害する可能性があります。
この脆弱性に対する攻撃が成功すると、権限なく重要なデータにアクセスしたり、MySQL サーバーがアクセスできるすべてのデータに完全にアクセスしたりする可能性があります。(CVE-2022-43551)

- Oracle MySQL の MySQL Server 製品における脆弱性 (コンポーネント: サーバー: Security: 特権)。
影響を受けるサポート対象のバージョンは 5.7.41以前および 8.0.30以前です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく MySQL Server をハングさせたり、頻繁にクラッシュを繰り返させたりする可能性 (完全な DOS) があります。(CVE-2023-21912)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

2023 年 4 月の Oracle Critical Patch Update アドバイザリに従い、適切なパッチを適用してください。

参考資料

https://www.oracle.com/a/tech/docs/cpuapr2023cvrf.xml

https://www.oracle.com/security-alerts/cpuapr2023.html

https://www.oracle.com/security-alerts/cpujul2023.html

https://www.oracle.com/docs/tech/security-alerts/cpujul2023cvrf.xml

プラグインの詳細

深刻度: High

ID: 174555

ファイル名: mysql_8_0_33.nasl

バージョン: 1.6

タイプ: remote

ファミリー: Databases

公開日: 2023/4/20

更新日: 2023/10/20

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: High

Base Score: 7.8

Temporal Score: 6.1

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N

CVSS スコアのソース: CVE-2022-43551

CVSS v3

リスクファクター: High

Base Score: 7.5

Temporal Score: 6.7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:oracle:mysql

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2023/4/18

脆弱性公開日: 2023/4/18

参照情報

CVE: CVE-2022-43551, CVE-2023-0215, CVE-2023-21911, CVE-2023-21919, CVE-2023-21920, CVE-2023-21929, CVE-2023-21933, CVE-2023-21935, CVE-2023-21940, CVE-2023-21945, CVE-2023-21946, CVE-2023-21947, CVE-2023-21953, CVE-2023-21955, CVE-2023-21962, CVE-2023-21966, CVE-2023-21972, CVE-2023-21976, CVE-2023-21977, CVE-2023-21980, CVE-2023-21982, CVE-2023-22007

IAVA: 2023-A-0212-S, 2023-A-0368-S