MariaDB プロジェクトによる報告：

以下のセキュリティ脆弱性の修正: CVE-2017-15365

MariaDBデータベースサーバーで、複数の問題が発見されました。
脆弱性には、MariaDBを新しいUpstreamバージョン10.1.37にアップグレードすることで、対処します。詳細については、MariaDB10.1リリースノートを参照してください：

  -https://mariadb.com/kb/en/mariadb/mariadb-10127-release-notes/
  - https://mariadb.com/kb/en/mariadb/mariadb-10128-release-notes/

  - https://mariadb.com/kb/en/mariadb/mariadb-10129-release-notes/

  - https://mariadb.com/kb/en/mariadb/mariadb-10130-release-notes/

  - https://mariadb.com/kb/en/mariadb/mariadb-10131-release-notes/

  - https://mariadb.com/kb/en/mariadb/mariadb-10132-release-notes/

  - https://mariadb.com/kb/en/mariadb/mariadb-10133-release-notes/

  - https://mariadb.com/kb/en/mariadb/mariadb-10134-release-notes/

  - https://mariadb.com/kb/en/mariadb/mariadb-10135-release-notes/

  - https://mariadb.com/kb/en/mariadb/mariadb-10136-release-notes/

  -https://mariadb.com/kb/en/mariadb/mariadb-10137-release-notes/

リモートホストにインストールされている MariaDB のバージョンは、10.1.30 より前です。したがって、mariadb-10-1-30-release-notes のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - MariaDB 10.1.30 以前および 10.2.10 より前の 10.2.x、sql / event_data_objects.cc、Percona XtraDB Cluster 5.6.37-26.21-3 以前および 5.7.19-29.22-3 より前の 5.7.x により、SQL アクセスを持つリモートの認証されたユーザーが、意図されたアクセス制限をバイパスし、DDL レプリケーションおよび ACL チェックの不適切な順序を利用することで、データ定義言語 (DDL) ステートメントをクラスターノードに複製します。(CVE-2017-15365)

  - Oracle MySQL の MySQL Server コンポーネントにおける脆弱性 (サブコンポーネント: サーバー: パーサー) 影響を受けるサポート対象のバージョンは5.5.61以前、5.6.41以前、5.7.23以前、8.0.12以前です。
    容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Server を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なく MySQL Server をハングさせたり、頻繁にクラッシュを繰り返させたりする可能性 (完全な DOS) があります。(CVE-2018-3133)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストで実行されているMariaDBのバージョンは、10.2.10より前の10.2.xです。したがって、複数の脆弱性による影響を受けます。

**10.1.30への更新**

Upstreamによって追加されたsysusersとtmpfiles

**リリースノート：**

https://mariadb.com/kb/en/library/mariadb-10130-release-notes/

**修正されたCVE：**

CVE-2017-15365

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2019:1258 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - mysql: Server: レプリケーションの詳細不明な脆弱性 (CPU 2017 年 10 月) (CVE-2017-10268)

  - mysql: Server: Optimizer の詳細不明な脆弱性 (CPU 2017 年 10 月) (CVE-2017-10378)

  - mariadb: sql/event_data_objects.cc でのレプリケーションが、ACL チェックの前に発生します (CVE-2017-15365)

  - mysql: Server: パーティションの詳細不明な脆弱性 (CPU 2018 年 1 月) (CVE-2018-2562)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 6 月) (CVE-2018-2612)

  - mysql: Server: DDL の詳細不明な脆弱性 (CPU 2018 年 1 月) (CVE-2018-2622)

  - mysql: Server: Optimizer の詳細不明な脆弱性 (CPU 2018 年 1 月) (CVE-2018-2640、CVE-2018-2665、CVE-2018-2668)

  - mysql: Server: レプリケーションの詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2755)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2759、CVE-2018-2766、CVE-2018-2777、CVE-2018-2782、CVE-2018-2784、CVE-2018-2786、CVE-2018-2787、CVE-2018-2810、CVE-2018-2819)

  - mysql: クライアントプログラムの詳細不明な脆弱性 (CPU 20218 年 4 月) (CVE-2018-2761)

  - mysql: Server: ロッキングの詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2771)

  - mysql: Server: Optimizer の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2781)

  - mysql: Server: DDL の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2813、CVE-2018-2817)

  - mysql: MyISAM の詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3058)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3060、CVE-2018-3064)

  - mysql: Server: Security: 権限の詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3063)

  - mysql: Server: Optimizer の詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3066)

  - mysql: クライアントプログラムの詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3081)

  - mysql: Server: パーサーの詳細不明な脆弱性 (CPU 2018 年 10 月) (CVE-2018-3133)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 10 月) (CVE-2018-3143、CVE-2018-3156、CVE-2018-3162、CVE-2018-3173、CVE-2018-3185、CVE-2018-3200、CVE-2018-3251、CVE-2018-3277、CVE-2018-3284)

  - mysql: mysql ユーザーが所有する pidfile からの pid を使用した、root 権限で kill を呼び出す Init スクリプト (CPU 2018 年 10 月) (CVE-2018-3174)

  - mysql: Server: ストレージエンジンの詳細不明な脆弱性 (CPU 2018 年 10 月) (CVE-2018-3282)

  - mysql: Server: パーサーの詳細不明な脆弱性 (CPU 2019 年 1 月) (CVE-2019-2455)

  - mysql: Server: 接続処理の詳細不明な脆弱性 (CPU 2019 年 1 月) (CVE-2019-2503)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2019 年 1 月) (CVE-2019-2510)

  - mysql: Server: DDL の詳細不明な脆弱性 (CPU 2019 年 1 月) (CVE-2019-2537)

  - mysql: C API の詳細不明な脆弱性 (CPU 2020 年 7 月) (CVE-2020-14550)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
105451	FreeBSD：MariaDB -- 特定されない脆弱性（b7d89082-e7c0-11e7-ac58-b499baebfeaf）	Nessus	FreeBSD Local Security Checks	2017/12/26	2021/1/4	high
119040	DebianDSA-4341-1：mariadb-10.1 - セキュリティ更新	Nessus	Debian Local Security Checks	2018/11/20	2022/5/31	high
167856	MariaDB 10.1.0 < 10.1.30の複数の脆弱性	Nessus	Databases	2022/11/18	2022/11/18	high
105077	MariaDB 10.2.x < 10.2.10の複数の脆弱性	Nessus	Databases	2017/12/7	2022/11/18	high
106274	Fedora 26：3：mariadb（2018-0d6a80f496）	Nessus	Fedora Local Security Checks	2018/1/24	2021/1/6	high
194143	RHEL 6 / 7 : rh-mariadb102-mariadb and rh-mariadb102-galera (RHSA-2019:1258)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/4/28	high

検出

プラグインの検索

high

high

high

high

high

high