リモートホストにインストールされている MariaDB のバージョンは、3.4.10 より前です。したがって、GHSA-fmq9-qjxj-qpf7のアドバイザリに記載されている脆弱性の影響を受けます。

  - ###影響ゼロ構成SSLプロトコルでは、MariaDBクライアントは、未検証のTLS接続を介したクリアテキストパスワード送信を拒否する必要があります。プログラミングの誤りにより、TLS 証明書が有効であっても、接続ホストに属していない場合、MariaDB Connector/C(libmariadb)は平文パスワードプラグインに切り替えることができました。これにより、アクティブな中間者攻撃者が、証明書を別の有効な証明書に置き換え、クライアントに平文パスワードプラグインに切り替えるようにリクエストする可能性があります。影響を受けるのはMariaDBコネクタ/Cのみで、他のMariaDBコネクタは安全です。### 回避策 以下のいずれかを緩和策として使用できます * 適切に署名された証明書をサーバーにインストールします * 特定の証明書の指紋のみを受け入れるようにクライアントを構成します * 「mysql_clear_password.so」および「dialog.so」ファイルを削除します * 「restricted-auth」オプションを使用して、認証をプラグインの安全なサブセットに制限します ### 参照 https://jira.mariadb.org/browse/CONC-846### Credits Aisle Research RedHat (GHSA-fmq9-qjxj-qpf7)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

MariaDB 3.4.0 < 3.4.10

high Nessus プラグイン ID 343489

バージョン 1.2

バージョン 1.1

バージョン 1.2 Sep 16, 2026, 5:33 AM Detection (updated detection logic) Plugin Feed: 202609160533
バージョン 1.1 Sep 8, 2026, 12:57 AM New Plugin Feed: 202609080057