MariaDB 3.4.0 < 3.4.10
high Nessus プラグイン ID 343489
Language:
概要
リモートのデータベースサーバーは、脆弱性の影響を受けます。説明
リモートホストにインストールされている MariaDB のバージョンは、3.4.10 より前です。したがって、GHSA-fmq9-qjxj-qpf7のアドバイザリに記載されている脆弱性の影響を受けます。- ###影響ゼロ構成SSLプロトコルでは、MariaDBクライアントは、未検証のTLS接続を介したクリアテキストパスワード送信を拒否する必要があります。プログラミングの誤りにより、TLS 証明書が有効であっても、接続ホストに属していない場合、MariaDB Connector/C(libmariadb)は平文パスワードプラグインに切り替えることができました。これにより、アクティブな中間者攻撃者が、証明書を別の有効な証明書に置き換え、クライアントに平文パスワードプラグインに切り替えるようにリクエストする可能性があります。影響を受けるのはMariaDBコネクタ/Cのみで、他のMariaDBコネクタは安全です。### 回避策 以下のいずれかを緩和策として使用できます * 適切に署名された証明書をサーバーにインストールします * 特定の証明書の指紋のみを受け入れるようにクライアントを構成します * 「mysql_clear_password.so」および「dialog.so」ファイルを削除します * 「restricted-auth」オプションを使用して、認証をプラグインの安全なサブセットに制限します ### 参照 https://jira.mariadb.org/browse/CONC-846### Credits Aisle Research RedHat (GHSA-fmq9-qjxj-qpf7)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
MariaDB バージョン 3.4.10以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 343489
ファイル名: mariadb_3_4_10.nasl
バージョン: 1.2
タイプ: Combined
エージェント: windows, macosx, unix
ファミリー: Databases
公開日: 2026/9/7
更新日: 2026/9/15
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
脆弱性情報
CPE: cpe:/a:mariadb:mariadb
必要な KB アイテム: installed_sw/MariaDB
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/9/7
脆弱性公開日: 2026/9/7
参照情報
CWE: 297