Oracle による報告：

この重要度緊急のパッチ更新には、Oracle MySQLに対する31件の新たなセキュリティ修正が含まれていますこれらの脆弱性のうち6件は、認証なしにリモートで悪用される可能性があります。つまり、ユーザーの認証情報を必要とせずにネットワーク上で悪用される可能性があります。

リモートホストにインストールされている Oracle Enterprise Manager Ops Center のバージョンは、Enterprise Manager Base Platform コンポーネントにおける複数の脆弱性による影響を受けます:

  - Oracle Enterprise Manager Ops Center の Networking (cURL) コンポーネントに詳細不明な脆弱性があります。容易に悪用できる脆弱性であり、ネットワークアクセス権を持つ認証されていない攻撃者が、HTTPS を介して Enterprise Manager Ops Center を侵害する可能性があります。
    この脆弱性への攻撃が成功した場合、Enterprise Manager Ops Center の乗っ取りが発生する可能性があります。(CVE-2019-5443)

  - Oracle Enterprise Manager Ops Center の OS Provisioning (Apache HTTP Server) コンポーネントに詳細不明な脆弱性があります。容易に悪用できる脆弱性であり、ネットワークアクセス権を持つ認証されていない攻撃者が、複数のプロトコルを介して Enterprise Manager Ops Center を侵害する可能性があります。この脆弱性への攻撃が成功した場合、Enterprise Manager Ops Center のデータへの認証されていないアクセスが発生する可能性があります。(CVE-2019-9517)

リモートホストで実行されているMySQLのバージョンは、5.7.28より前の5.7.xです。したがって、2019年10月のCritical Patch Updateアドバイザリに記載されているとおり、下記に示す主な3つの脆弱性を含む複数の脆弱性の影響を受けます。

  - Oracle MySQLのMySQL Server製品における脆弱性（コンポーネント：サーバー:  オプティマイザーおよびPS）にあるサービス拒否の脆弱性の影響を受けます。容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害する可能性があります。これらの脆弱性の悪用に成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります。（CVE-2019-2946、CVE-2019-2974）

  - 権限のないユーザーまたはプログラムが、既知の権限のないパス（C: /usr/local/）にコードと設定ファイルを置き、curl <= 7.65.1に呼び出し時に（openssl「エンジン」として）コードを自動的に実行させる可能性があります。
  そのcurlが権限のあるユーザーによって呼び出された場合は、指定されたアクションをすべて実行する可能性があります。（CVE-2019-5443）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストで実行されているMySQLのバージョンは、8.0.18より前の8.0.xです。したがって、2019年10月のCritical Patch Updateアドバイザリに記載されているとおり、下記に示す主な3つの脆弱性を含む複数の脆弱性の影響を受けます。

    - Oracle MySQLのMySQL Server製品における脆弱性（コンポーネント：サーバー:  Optimizer）。影響を受けるサポート対象のバージョンは5.7.30以前および8.0.17以前です。容易に悪用可能な脆弱性により、高い権限を持つ攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（CVE-2021-2160）

    - Oracle MySQLのMySQLServer製品における脆弱性（コンポーネント：サーバー：C APIおよびOptimizer）。容易に悪用可能な脆弱性により、権限が低い攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害する可能性があります。これらの脆弱性の悪用に成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります。（CVE-2019-2966、CVE-2019-3011）

    - 権限のないユーザーまたはプログラムが、既知の権限のないパス（C: /usr/local/）にコードと設定ファイルを置き、curl <= 7.65.1に呼び出し時に（openssl「エンジン」として）コードを自動的に実行させる可能性があります。
  そのcurlが権限のあるユーザーによって呼び出された場合は、指定されたアクションをすべて実行する可能性があります。（CVE-2019-5443）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
130496	FreeBSD：MySQL -- 複数の脆弱性（fc91f2ef-fd7b-11e9-a1c7-b499baebfeaf）	Nessus	FreeBSD Local Security Checks	2019/11/4	2024/4/16	high
133057	Oracle Enterprise Manager Ops Center (2019 年 10 月 CPU)	Nessus	Misc.	2020/1/17	2023/1/12	high
130026	MySQL 5.7.x < 5.7.28の複数の脆弱性（2019年10月CPU）	Nessus	Databases	2019/10/18	2022/10/21	high
130027	MySQL 8.0.x < 8.0.18の複数の脆弱性（2019年10月CPU）	Nessus	Databases	2019/10/18	2022/12/5	high

検出

プラグインの検索

high

high

high

high