リモートの Ubuntu 18.04 LTS ホストには、USN-3629-3 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    USN-3629-1 では、MySQLの脆弱性が修正されました。この更新では、Ubuntu 18.04 LTS に対応する更新プログラムが提供されます。



Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

**MySQL 5.7.22**

**変更ログ**

https://dev.mysql.com/doc/relnotes/mysql/5.7/en/news-5-7-22.html

**修正されたCVE**

CVE-2018-2755 CVE-2018-2758 CVE-2018-2759 CVE-2018-2761 CVE-2018-2762 CVE-2018-2766 CVE-2018-2769 CVE-2018-2771 CVE-2018-2773 CVE-2018-2775 CVE-2018-2776 CVE-2018-2777 CVE-2018-2778 CVE-2018-2779 CVE-2018-2780 CVE-2018-2781 CVE-2018-2782 CVE-2018-2784 CVE-2018-2786 CVE-2018-2787 CVE-2018-2810 CVE-2018-2812 CVE-2018-2813 CVE-2018-2816 CVE-2018-2817 CVE-2018-2818 CVE-2018-2819 CVE-2018-2839 CVE-2018-2846

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このmariadbの10.2.15への更新では、次の問題が修正されます：

これらのセキュリティの問題が修正されました：

  - CVE-2018-2767：埋め込みサーバーライブラリでのSSL/TLSの使用を強制します（BACKRONYMの戻り）（bsc#1088681）。

  - CVE-2018-2786：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。容易に悪用可能な脆弱性により、高い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverがアクセスできるデータの一部にアクセスして、更新、挿入、削除したり、さらにMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります（bsc#1089987）。

  - CVE-2018-2759：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。容易に悪用可能な脆弱性により、高い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（bsc#1089987）

  - CVE-2018-2777：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。容易に悪用可能な脆弱性により、高い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（bsc#1089987）

  - CVE-2018-2810：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。容易に悪用可能な脆弱性により、高い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（bsc#1089987）

  - CVE-2018-2782：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）。

  - CVE-2018-2784：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）。

  - CVE-2018-2787：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。容易に悪用可能な脆弱性により、高い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverがアクセスできるデータの一部にアクセスして、更新、挿入、削除したり、さらにMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります（bsc#1089987、bsc#1090518）。

  - CVE-2018-2766：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。容易に悪用可能な脆弱性により、高い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2755：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：
    Replication）。悪用が難しい脆弱性ですが、認証されていない攻撃者が、MySQL Serverが実行されているインフラストラクチャにログオンし、MySQL Serverを侵害する可能性がありました。攻撃が成功するには、攻撃者以外の人物の関与が必要であり、MySQL Serverにある脆弱性であっても、攻撃がその他の製品に重大な影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、MySQL Serverの乗っ取りが発生する可能性があります（bsc#1089987、bsc#1090518）。

  - CVE-2018-2819：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）。

  - CVE-2018-2817：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：DDL）
    容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）。

  - CVE-2018-2761：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：Client programs）。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Serverを侵害する可能性がありました。
    この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2781：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：
    Optimizer）。容易に悪用可能な脆弱性により、高い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。
    この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2771：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：
    ロッキング）。悪用が難しい脆弱性ですが、権限が高い攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Serverを侵害する可能性がありました。
    この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2813：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：DDL）
    容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害することが可能でした。この脆弱性に対する攻撃が成功すると、MySQL Server がアクセスできるサブセットのデータが、権限なく読み取りアクセスされる可能性があります（bsc#1089987、bsc#1090518）。

以下のセキュリティ以外の問題が、修正されました。

  - PCREが8.42に更新されました

  - 回復中の欠落したテーブルスペースの不完全な検証

  - ib_buffer_poolが不必要な一時テーブルスペースを追加します

  - InnoDBが初期化されていないガベージをredoログに書き込む可能性があります

  - 仮想列：dict_table_get_col_nameでアサーションが失敗しました

  -innodbの起動/シャットダウンの遅延がsystemdタイムアウトを超える可能性があります

  - 5.5からのアップグレード時にdict_check_sys_tablesでアサーションが失敗しました

  - TRUNCATEまたはDROP TABLE中のバッファクラッシュを変更します

  - 一時テーブルROLLBACKの修正

詳細については、

-https://mariadb.com/kb/en/library/mariadb-10215-release-notes

-https://mariadb.com/kb/en/library/mariadb-10215-changelog

The version of MySQL running on the remote host is 5.7.x prior to 5.7.22. It is, therefore, affected by multiple vulnerabilities as noted in the April 2018 Critical Patch Update advisory. Please consult the CVRF details for the applicable CVEs for additional information.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
109467	Ubuntu 18.04 LTS : MySQL の脆弱性 (USN-3629-3)	Nessus	Ubuntu Local Security Checks	2018/5/1	2024/10/29	high
109563	Fedora 26：community-mysql（2018-8b920c2b00）	Nessus	Fedora Local Security Checks	2018/5/4	2024/10/11	high
123187	openSUSEセキュリティ更新プログラム：mariadb（openSUSE-2019-427）	Nessus	SuSE Local Security Checks	2019/3/27	2024/6/12	high
700626	MySQL 5.7.x < 5.7.22 Multiple Vulnerabilities (April 2018 CPU)	Nessus Network Monitor	Database	2019/4/25	2019/4/25	high

検出

プラグインの検索

high

high

high

high