リモートホストで実行されているMySQLのバージョンは、5.7.35より前の5.7.xです。したがって、2021年7月のCritical Patch Updateアドバイザリに記載されているとおり、以下を含む複数のサービスの脆弱性の影響を受けます。

  -curl 7.75.0〜7.76.1には、Use-After-Freeの脆弱性があり、TLS 1.3セッションチケットが接続により到着したときに、すでに解放されたメモリの使用が引き起こされます。悪意のあるサーバーが、まれにしか起こらない不幸な状況でこれを悪用して、クライアントでリモートでコードを実行する可能性があります。（CVE-2021-22901）

  - 1.9.2より前のLZ4では、LZ4_write32にヒープベースのバッファオーバーフローがあり（LZ4_compress_destSizeに関連）、大きな入力でLZ4_compress_fastを呼び出すアプリケーションに影響を与えます。（この問題は、データ破損にもつながる可能性があります。）（CVE-2019-17543）

  - Oracle MySQLのMySQL Server製品における脆弱性（コンポーネント：InnoDB）。影響を受けるサポート対象のバージョンは5.7.34以前および8.0.25以前です。悪用が難しい脆弱性ですが、権限が高い攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Serverを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。
  （CVE-2021-2372）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストで実行されているMySQLのバージョンは、8.0.26より前の8.0.xです。したがって、2021年7月のCritical Patch Updateアドバイザリに記載されているとおり、以下を含む複数のサービスの脆弱性の影響を受けます。

  -curl 7.75.0〜7.76.1には、Use-After-Freeの脆弱性があり、TLS 1.3セッションチケットが接続により到着したときに、すでに解放されたメモリの使用が引き起こされます。悪意のあるサーバーが、まれにしか起こらない不幸な状況でこれを悪用して、クライアントでリモートでコードを実行する可能性があります。（CVE-2021-22901）

  - 1.9.2より前のLZ4では、LZ4_write32にヒープベースのバッファオーバーフローがあり（LZ4_compress_destSizeに関連）、大きな入力でLZ4_compress_fastを呼び出すアプリケーションに影響を与えます。（この問題は、データ破損にもつながる可能性があります。）（CVE-2019-17543）

  - Oracle MySQLのMySQL Server製品における脆弱性（コンポーネント：InnoDB）。影響を受けるサポート対象のバージョンは5.7.34以前および8.0.25以前です。悪用が難しい脆弱性ですが、権限が高い攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Serverを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。
  （CVE-2021-2372）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Oracleによる報告：

このCritical Patch Updateには、Oracle MySQL用の41の新しいセキュリティパッチが含まれています。これらの脆弱性の10個は、認証なしでリモートで悪用される可能性があります。つまり、ユーザーの認証情報を必要とせずにネットワークで悪用される可能性があります。Oracle MySQLに影響を与える脆弱性の最も高いCVSS v3.1ベーススコアは8.8です。

MariaDBはCVE-2021-2372およびCVE-2021-2389のみによる影響を受けます。

このlz4の更新では、次の問題を修正します：

CVE-2019-17543：LZ4_write32でのヒープベースのバッファオーバーフローを修正しました（bsc#1153936）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このlz4の更新では、次の問題を修正します：

  - CVE-2019-17543：LZ4_write32でのヒープベースのバッファオーバーフローを修正しました（bsc#1153936）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
151969	MySQL 5.7.x < 5.7.35の複数の脆弱性（2021年7月CPU）	Nessus	Databases	2021/7/22	2023/12/7	high
151968	MySQL 8.0.x < 8.0.26の複数の脆弱性（2021年7月CPU）	Nessus	Databases	2021/7/22	2023/12/7	high
151899	FreeBSD：MySQL -- 複数の脆弱性（38a4a043-e937-11eb-9b84-d4c9ef517024）	Nessus	FreeBSD Local Security Checks	2021/7/21	2023/12/7	high
130199	SUSE SLED15 / SLES15セキュリティ更新プログラム：lz4 (SUSE-SU-2019:2757-1)	Nessus	SuSE Local Security Checks	2019/10/24	2024/4/17	high
130359	openSUSEセキュリティ更新プログラム：lz4 (openSUSE-2019-2398)	Nessus	SuSE Local Security Checks	2019/10/29	2024/4/16	high
130360	openSUSEセキュリティ更新プログラム：lz4 (openSUSE-2019-2399)	Nessus	SuSE Local Security Checks	2019/10/29	2024/4/16	high

検出

プラグインの検索

high

high

high

high

high

high