Debian dla-4208 : libmariadb-dev - セキュリティ更新
medium Nessus プラグイン ID 237758
Language:
概要
リモートの Debian ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。説明
リモートの Debian 11 ホストには、dla-4208 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。[email protected] Subject: [SECURITY] [DLA 4208-1] mariadb-10.5 のセキュリティ更新
- ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4208-1 [email protected] https://www.debian.org/lts/security/Otto Bonaccorso 2025 年 6 月 4 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------
パッケージ : mariadb-10.5 Version : 1:10.5.29-0+deb11u1 CVE ID : CVE-2025-30693 CVE-2025-30722 Debian バグ : 1099515 1105976
MySQL と互換性のある SQL データベースサーバーである MariaDB に脆弱性が発見されました。
CVE-2025-30693
容易に悪用可能な脆弱性により、権限が高い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MariaDB サーバーを侵害する可能性があります。この脆弱性による攻撃が成功すると、権限なしで MariaDB Server がアクセスできるデータの一部にアクセスして、更新、挿入、削除したり、さらに MariaDB Server でハングを引き起こしたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。
CVE-2025-30722
悪用が難しい脆弱性ですが、低い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、MariaDB Client を侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータへの不正アクセス、MariaDB Client がアクセスできるデータへの完全なアクセス、MariaDB Client がアクセスできる一部のデータへの権限のない更新、アクセスの挿入または削除が引き起こされる可能性があります。
Debian 11 bullseye においては、これらの問題はバージョン 1:10.5.29-0+deb11u1 で修正されました。
この更新には、CVE-2025-30693 に関するニュースエントリも含まれます。
CVE-2025-30693 の修正では、innoDB 形式、特に可変長エンコーディングのデータ形式を変更する必要があります。mach_write_compressed() を mach_u64_write_much_compressed() で置換する修正。これにより、32 ビットの符号のない値に対して同一のエンコーディングが生成されます。
32 ビットに納まらない 64 ビットの符号なし整数は、オクテット 0xff としてエンコードされた後、変数長でエンコードされた 32 ビットの整数の半分が 2 つ続きます。
このスキームは古い形式との下位互換性がなく、外部ツール、特にツールが InnoDB undo ログレコードの仮想列のインデックスを読み取る場合、外部ツールを壊す可能性があります。
この更新には、10.5 メンテナンスブランチを通じたバグ修正も含まれています。詳細は https://mariadb.com/kb/en/mariadb-10-5-29-release-notes/ を参照してください。
お使いの mariadb-10.5 パッケージをアップグレードすることを推奨します。
mariadb-10.5 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
https://security-tracker.debian.org/tracker/mariadb-10.5
Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS
Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
libmariadb-dev パッケージをアップグレードしてください。参考資料
http://www.nessus.org/u?a808a9b2
https://security-tracker.debian.org/tracker/CVE-2025-30693
プラグインの詳細
深刻度: Medium
ID: 237758
ファイル名: debian_DLA-4208.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2025/6/4
更新日: 2025/6/4
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.2
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5
ベクトル: CVSS2#AV:N/AC:L/Au:M/C:N/I:P/A:C
CVSS スコアのソース: CVE-2025-30693
CVSS v3
リスクファクター: Medium
基本値: 5.5
現状値: 4.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:debian:debian_linux:mariadb-plugin-oqgraph, p-cpe:/a:debian:debian_linux:mariadb-backup, p-cpe:/a:debian:debian_linux:mariadb-plugin-cracklib-password-check, p-cpe:/a:debian:debian_linux:mariadb-plugin-rocksdb, p-cpe:/a:debian:debian_linux:mariadb-test, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:mariadb-client-core-10.5, p-cpe:/a:debian:debian_linux:mariadb-plugin-gssapi-server, p-cpe:/a:debian:debian_linux:libmariadbd-dev, p-cpe:/a:debian:debian_linux:mariadb-plugin-gssapi-client, p-cpe:/a:debian:debian_linux:libmariadb-dev, p-cpe:/a:debian:debian_linux:mariadb-plugin-mroonga, p-cpe:/a:debian:debian_linux:libmariadbd19, p-cpe:/a:debian:debian_linux:mariadb-plugin-spider, p-cpe:/a:debian:debian_linux:mariadb-client-10.5, p-cpe:/a:debian:debian_linux:mariadb-plugin-s3, p-cpe:/a:debian:debian_linux:mariadb-client, p-cpe:/a:debian:debian_linux:mariadb-server-core-10.5, p-cpe:/a:debian:debian_linux:mariadb-server-10.5, p-cpe:/a:debian:debian_linux:mariadb-plugin-connect, p-cpe:/a:debian:debian_linux:mariadb-common, p-cpe:/a:debian:debian_linux:libmariadb-dev-compat, p-cpe:/a:debian:debian_linux:mariadb-test-data, p-cpe:/a:debian:debian_linux:libmariadb3, p-cpe:/a:debian:debian_linux:mariadb-server
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2025/6/4
脆弱性公開日: 2025/4/15
参照情報
CVE: CVE-2025-30693, CVE-2025-30722