安全补丁：

- 发现使用 TLS/SSL 创建安全连接时，MariaDB 客户端库未对 X.509 证书中注明的服务器身份正确检查主机名。中间人攻击者可能利用此缺陷，冒充客户端的服务器。(CVE-2016-2047)

（CVE-2015-4792、CVE-2015-4802、CVE-2015-4815、CVE-2015-4816、CVE-2015-4819、CVE-2015-4826、CVE-2015-4830、CVE-2015-4836、CVE-2015-4858、CVE-2015-4861、CVE-2015-4870、CVE-2015-4879、CVE-2015-4913、CVE-2016-0505、CVE-2016-0546、CVE-2016-0596、CVE-2016-0597、CVE-2016-0598、CVE-2016-0600、CVE-2016-0606、CVE-2016-0608、CVE-2016-0609、CVE-2016-0616）

缺陷补丁：

- 若启动 MariaDB 之后，立即在具有定义为主要密钥的 AUTO_INCREMENT 列的非空白 InnoDB 表中并发执行多个“插入”操作，会发生争用条件。因此，其中一个并发“插入”操作会失败，且会显示“重复密钥”错误消息。已应用一个修补程序，可防止争用条件。现在，插入为并发“插入”操作结果的每一行都会收到一个唯一的主要密钥，且操作不会再在此情况下失败。

リモートの Ubuntu 14.04 LTS ホストには、USN-2781-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    MySQL で複数のセキュリティ上の問題が見つかりましたが、この更新プログラムにはこうした問題を修正する新しいアップストリームの MySQL バージョンが含まれています。

    Ubuntu 12.04 LTSとUbuntu 14.04 LTSでMySQLが5.5.46に更新されました。Ubuntu 15.04 および Ubuntu 15.10 は、MySQL 5.6.27 に更新されました。

    更新済みパッケージには、セキュリティの修正に加えてバグ修正と新しい機能が含まれていますが、互換性のない変更が含まれている場合もあります。

    詳細については、以下を参照してください。
    http://dev.mysql.com/doc/relnotes/mysql/5.5/en/news-5-5-45.html http://dev.mysql.com/doc/relnotes/mysql/5.5/en/news-5-5-46.html http://dev.mysql.com/doc/relnotes/mysql/5.6/en/news-5-6-26.html http://dev.mysql.com/doc/relnotes/mysql/5.6/en/news-5-6-27.html http://www.oracle.com/technetwork/topics/security/cpuoct2015-2367953.html

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

セキュリティ問題とバグを修正するため、MySQL が 5.6.27 に更新されました。

以下の脆弱性が上流リリースの一部として修正されました [boo#951391]：CVE-2015-1793、CVE-2015-0286、CVE-2015-0288、CVE-2015-1789、CVE-2015-4730、CVE-2015-4766、CVE-2015-4792、CVE-2015-4800、CVE-2015-4802、CVE-2015-4815、CVE-2015-4816、CVE-2015-4819、CVE-2015-4826、CVE-2015-4830、CVE-2015-4833、CVE-2015-4836、CVE-2015-4858、CVE-2015-4861、CVE-2015-4862、CVE-2015-4864、CVE-2015-4866、CVE-2015-4870、CVE-2015-4879、CVE-2015-4890、CVE-2015-4895、CVE-2015-4904、CVE-2015-4905、CVE-2015-4910、CVE-2015-4913

これらおよびその他の変更の詳細は、下記を参照してください：
http://dev.mysql.com/doc/relnotes/mysql/5.6/en/news-5-6-27.html

さらに、以下のセキュリティ関連の変更も含まれています：

- CVE-2015-3152：MySQL に SSL の強制が欠けていました。--ssl-verify-server-cert および --ssl[-*] を使用するには、ssl 接続が必要です。ssl が必要であるが、サーバーが ssl 接続を処理できない場合、mysql クライアントはエラーを印刷します [boo#924663]、[boo#928962]

mysql パッケージがバージョン 5.5.46 に更新され、いくつかのセキュリティ問題および非セキュリティ問題が修正されました。

- bnc#951391：バージョン 5.5.46 への更新

- 変更：
 http://dev.mysql.com/doc/relnotes/mysql/5.5/en/news-5-5-46.html

- 修正済み CVE：CVE-2015-1793、CVE-2015-0286、CVE-2015-0288、CVE-2015-1789、CVE-2015-4730、CVE-2015-4766、CVE-2015-4792、CVE-2015-4800、CVE-2015-4802、CVE-2015-4815、CVE-2015-4816、CVE-2015-4819、CVE-2015-4826、CVE-2015-4830、CVE-2015-4833、CVE-2015-4836、CVE-2015-4858、CVE-2015-4861、CVE-2015-4862、CVE-2015-4864、CVE-2015-4866、CVE-2015-4870、CVE-2015-4879、CVE-2015-4890、CVE-2015-4895、CVE-2015-4904、CVE-2015-4905、CVE-2015-4910、CVE-2015-4913

- bnc#952196：ppc*、s390*、ia64 のアーキテクチャのビルドエラーを修正しました。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

これは 10.0.23 への更新であり、次のすべての問題に対する修正も提供します：CVE-2015-4792、CVE-2015-4802、CVE-2015-4807、CVE-2015-4815、CVE-2015-4816、CVE-2015-4819、CVE-2015-4826、CVE-2015-4830、CVE-2015-4836、CVE-2015-4858、CVE-2015-4861、CVE-2015-4870、CVE-2015-4879、CVE-2015-4895、CVE-2015-4913、CVE-2015-7744、CVE-2016-0502、CVE-2016-0503、CVE-2016-0504、CVE-2016-0505、CVE-2016-0546、CVE-2016-0594、CVE-2016-0595、CVE-2016-0596、CVE-2016-0597、CVE-2016-0598、CVE-2016-0599、CVE-2016-0600、CVE-2016-0601、CVE-2016-0605、CVE-2016-0606、CVE-2016-0607、CVE-2016-0608、CVE-2016-0609、CVE-2016-0610、CVE-2016-0611、CVE-2016-0616（一部は以前の更新で既に修正されています）。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

セキュリティ問題とバグを修正するため、MariaDB が 5.5.46 に更新されました。

Upstream のリリースにより、次の脆弱性が修正されました。

CVE-2015-4802、CVE-2015-4807、CVE-2015-4815、CVE-2015-4826、CVE-2015-4830、CVE-2015-4836、CVE-2015-4858、CVE-2015-4861、CVE-2015-4870、CVE-2015-4913、CVE-2015-4792

upsteam の変更のリストおよびリリースノートは、次の URL で参照できます：
https://mariadb.com/kb/en/mariadb/mariadb-5546-release-notes/ https://mariadb.com/kb/en/mariadb/mariadb-5546-changelog/

MariaDB はバージョン 10.0.22 に更新され、これは多数のセキュリティ問題と他の改善を提供します。

以下の CVE は修正されました：

- 10.0.22：CVE-2015-4802、CVE-2015-4807、CVE-2015-4815、CVE-2015-4826、CVE-2015-4830、CVE-2015-4836、CVE-2015-4858、CVE-2015-4861、CVE-2015-4870、CVE-2015-4913、CVE-2015-4792

- 10.0.21：CVE-2015-4816、CVE-2015-4819、CVE-2015-4879、CVE-2015-4895

以下のセキュリティ問題に関連しないバグが修正されています：

- rc.mysql-multi スクリプトを修正して、再起動後にインスタンスを適切に起動するようにします。（bsc#934401）

- rc.mysql-multi スクリプトを修正して、クラッシュ後に再起動するようにします。
 （bsc#937258）

変更の包括的なリストについては、Upstream リリースノートと変更ログドキュメントを参照してください：

- https://kb.askmonty.org/en/mariadb-10022-release-notes/

- https://kb.askmonty.org/en/mariadb-10021-release-notes/

- https://kb.askmonty.org/en/mariadb-10022-changelog/

- https://kb.askmonty.org/en/mariadb-10021-changelog/

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

mariadb 用の更新が、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

MariaDB は、MySQL とバイナリ相互性のあるマルチユーザーかつマルチスレッド SQL データベースサーバーです。

次のパッケージが新しい Upstream バージョンにアップグレードされました：
MariaDB（5.5.47）。変更内容の完全なリストについては、「参照」セクションにリストされている MariaDB のリリースノートを参照してください。

セキュリティ修正：

* TLS/SSL を使用して安全な接続を確立する際に、MariaDB クライアントライブラリが、X.509 証明書に記載されているサーバー ID に対して、ホスト名を適切にチェックしていないことが判明しました。中間者攻撃者がこの欠陥を利用して、クライアントに対してサーバーになりすます可能性があります。（CVE-2016-2047）

* この更新により、MariaDB データベースサーバーにあるいくつかの脆弱性が修正されます。この欠陥の詳細については、「参照」セクションに一覧されている Oracle Critical Patch Update アドバイザリページを参照してください。
(CVE-2015-4792、CVE-2015-4802、CVE-2015-4815、 CVE-2015-4816、CVE-2015-4819、CVE-2015-4826、 CVE-2015-4830、CVE-2015-4836、CVE-2015-4858、 CVE-2015-4861、CVE-2015-4870、CVE-2015-4879、 CVE-2015-4913、CVE-2016-0505、CVE-2016-0546、 CVE-2016-0596、CVE-2016-0597、CVE-2016-0598、 CVE-2016-0600、CVE-2016-0606、CVE-2016-0608、 CVE-2016-0609、CVE-2016-0616)

バグ修正：

* 2 つ以上の INSERT 操作が空でない InnoDB テーブルで同時に実行され、MariaDB の起動直後に AUTO_INCREMENT 列がプライマリキーとして定義されると、競合状態が発生する可能性があります。結果として、同時の INSERT 操作の 1 つが「Duplicate key」（「重複キー」）エラーメッセージで失敗していました。パッチが競合状態を防止するために適用されました。現時点では、同時の INSERT 操作が一意のプライマリキーを受け取る結果として、各行が挿入されるようになり、このシナリオで操作が失敗することはなくなりました。（BZ#1303946）

セキュリティ修正：

- TLS/SSL を使用して安全な接続を確立する際に、MariaDB クライアントライブラリが、X.509 証明書に記載されているサーバー ID に対して、ホスト名を適切にチェックしていないことが判明しました。中間者攻撃者がこの欠陥を利用して、クライアントに対してサーバーになりすます可能性があります。（CVE-2016-2047）

(CVE-2015-4792、CVE-2015-4802、CVE-2015-4815、 CVE-2015-4816、CVE-2015-4819、CVE-2015-4826、 CVE-2015-4830、CVE-2015-4836、CVE-2015-4858、 CVE-2015-4861、CVE-2015-4870、CVE-2015-4879、 CVE-2015-4913、CVE-2016-0505、CVE-2016-0546、 CVE-2016-0596、CVE-2016-0597、CVE-2016-0598、 CVE-2016-0600、CVE-2016-0606、CVE-2016-0608、 CVE-2016-0609、CVE-2016-0616)

バグ修正：

- 2 つ以上の INSERT 操作が空でない InnoDB テーブルで同時に実行され、MariaDB の起動直後に AUTO_INCREMENT 列がプライマリキーとして定義されると、競合状態が発生する可能性があります。結果として、同時の INSERT 操作の 1 つが「Duplicate key」（「重複キー」）エラーメッセージで失敗していました。パッチが競合状態を防止するために適用されました。現時点では、同時の INSERT 操作が一意のプライマリキーを受け取る結果として、各行が挿入されるようになり、このシナリオで操作が失敗することはなくなりました。

The version of MySQL installed on the remote host is version 5.5.x prior to 5.5.46 or 5.6.x prior to 5.6.27 and is affected by vulnerabilities in the following components :

- :

 - Client Programs
 - Data Definition Language
 - Data Manipulation Language
 - InnoDB
 - Option
 - Partition
 - Query Cache
 - Security:Privileges
 - Server Parser
 - Server Partition
 - Stored Procedures
 - Types

MariaDB is a community-developed fork of the MySQL relational database. The version of MariaDB installed on the remote host is earlier than 10.0.22, and is therefore affected by the following denial of service vulnerabilities :

 - Multiple denial ofservice vulnerabilities exist due to multiple unspecified flaws in the 'Server : Partition'subcomponent.  An authenticated, remote attacker can exploit these flaws to affect availability. (CVE-2015-4792, CVE-2015-4802)
 - A denial of service vulnerability exists due to an unspecified flaw in the Query Cache subcomponent.  An authenticated, remote attacker can exploit this to affect availability. (CVE-2015-4807)
 - A denial of service vulnerability exists due to an unspecified flaw in the DDL subcomponent.  An authenticated, remote attacker can exploit this to affect availability. (CVE-2015-4815)
 - An information disclosure vulnerability exists due to an unspecified flaw in the Types subcomponent.  An authenticated, remote attacker can exploit this to gain access to sensitive information. (CVE-2015-4826)
 - An unspecified vulnerability exists due to an unspecified flaw in the 'Security : Privileges' subcomponent.  An authenticated, remote attacker can exploit this to affect integrity. (CVE-2015-4830)
 - A denial of service vulnerability exists due to an unspecified flaw in the SP subcomponent.  An authenticated, remote attacker can exploit this to affect availability. (CVE-2015-4836)
 - Multiple denial of service vulnerabilities exist due to multiple unspecified flaws in the DML subcomponent.  An authenticated, remote attacker can exploit these flaws to affect availability. (CVE-2015-4858, CVE-2015-4913)
 - A denial of service vulnerability exists due to an unspecified flaw in the InnoDB subcomponent.  An authenticated, remote attacker can exploit this to affect availability. (CVE-2015-4861)
 - A denial of service vulnerability exists due to an unspecified flaw in the 'Server : Parser' subcomponent.  An authenticated, remote attacker can exploit this to affect availability. (CVE-2015-4870)
 - A denial of service vulnerability exists due to a flaw in the 'convert_kill_to_deadlock_error()' function that is triggered when handling rollbacks.  An authenticated, remote attacker can exploit this, via a specially crafted query, to cause the database to crash.
 - A denial of service vulnerability exists due to a flaw in the 'no_rows_in_result()' function that is triggered when handling logical conditions.  An authenticated, remote attacker can exploit this, via a specially crafted query, to cause the database to crash.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
90345	Scientific Linux 安全更新：SL7.x x86_64 中的 mariadb	Nessus	Scientific Linux Local Security Checks	2016/4/5	2021/1/14	medium
86617	Ubuntu 14.04 LTS : MySQL の脆弱性 (USN-2781-1)	Nessus	Ubuntu Local Security Checks	2015/10/27	2024/8/27	medium
87442	openSUSE セキュリティ更新：mysql（openSUSE-2015-889）（BACKRONYM）	Nessus	SuSE Local Security Checks	2015/12/17	2021/1/19	high
87525	SUSE SLED11/SLES11 セキュリティ更新：mysql（SUSE-SU-2015:2303-1）	Nessus	SuSE Local Security Checks	2015/12/21	2021/1/6	high
89628	Fedora 23：mariadb-10.0.23-1.fc23（2016-e30164d0a2）	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
87486	openSUSE セキュリティ更新：MariaDB（openSUSE-2015-890）	Nessus	SuSE Local Security Checks	2015/12/18	2021/1/19	medium
87964	SUSE SLED12 / SLES12 セキュリティ更新： mariadb （SUSE-SU-2016:0121-1）	Nessus	SuSE Local Security Checks	2016/1/18	2021/1/6	high
90300	RHEL 7 : mariadb (RHSA-2016:0534)	Nessus	Red Hat Local Security Checks	2016/4/1	2024/4/27	high
90345	Scientific Linux セキュリティ更新：SL7.x x86_64 の mariadb	Nessus	Scientific Linux Local Security Checks	2016/4/5	2021/1/14	medium
9252	Oracle MySQL 5.5.x < 5.5.46 / 5.6.x < 5.6.27 Multiple Vulnerabilities	Nessus Network Monitor	Database	2016/4/15	2019/3/6	high
9284	MariaDB Server 10.0.x < 10.0.22 Multiple DoS Vulnerabilities	Nessus Network Monitor	Database	2016/5/13	2019/3/6	medium

検出

プラグインの検索

medium

medium

high

high

high

medium

high

high

medium

high

medium