リモートホストで実行されているMySQLのバージョンは、5.7.29より前の5.7.xです。したがって、2020年1月のCritical Patch Updateアドバイザリに記載されているとおり、下記に示す主な3つの脆弱性を含む複数の脆弱性の影響を受けます。

  - Oracle MySQLのMySQL Server製品における脆弱性（コンポーネント: サーバー: コンパイリング (cURL) )。影響を受けるサポート対象のバージョンは5.7.28以前および8.0.18以前です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、MySQL Serverの乗っ取りが発生する可能性があります（CVE-2019-5482）。

  Oracle MySQLサーバーのオプティマイザーコンポーネントにおける詳細不明な脆弱性認証されていないリモートの攻撃者がこの問題を悪用し、アプリケーションの可用性に障害を生じさせる可能性があります（CVE-2020-2579）。

  - Oracle MySQLサーバーのInnoDBコンポーネントにおける詳細不明な脆弱性認証されていないリモートの攻撃者がこれらの問題を悪用し、アプリケーションの可用性に障害を生じさせる可能性があります（CVE-2020-2577、CVE-2020-2589）。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

MySQLで複数のセキュリティ上の問題が見つかりましたが、この更新プログラムにはこうした問題を修正する新しいアップストリームのMySQLバージョンが含まれています。

MySQLはUbuntu 19.10で8.0.19に更新されています。Ubuntu 16.04 LTSとUbuntu 18.04 LTSがMySQL 5.7.29に更新されました。

更新済みパッケージには、セキュリティの修正に加えてバグ修正と新しい機能が含まれていますが、互換性のない変更が含まれている場合もあります。

詳細については、以下を参照してください。
https://dev.mysql.com/doc/relnotes/mysql/5.7/en/news-5-7-29.html https://dev.mysql.com/doc/relnotes/mysql/8.0/en/news-8-0-19.html https://www.oracle.com/security-alerts/cpujan2020.html

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストで実行されているMySQLのバージョンは、8.0.19より前の8.0.xです。したがって、2020年1月のCritical Patch Updateアドバイザリに記載されているとおり、次のような複数の脆弱性の影響を受けます。

  - Oracle MySQLのMySQL Server製品における脆弱性（コンポーネント: サーバー: コンパイリング（cURL））。影響を受けるサポート対象のバージョンは5.7.28以前および8.0.18以前です。この容易に悪用可能な脆弱性により、認証されていない攻撃者が複数のプロトコルを介してネットワークにアクセスし、MySQL Serverを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、MySQL Serverの乗っ取りが発生する可能性があります（CVE-2019-5482）。

  - Oracle MySQLのMySQL Client製品における脆弱性（コンポーネント：C API）。影響を受けるサポート対象のバージョンは5.6.46以前、5.7.28以前、8.0.18以前です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Clientを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なしでMySQL Clientをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（CVE-2020-2573）

  - Oracle MySQLのMySQL Client製品における脆弱性（コンポーネント：C API）。影響を受けるサポート対象のバージョンは5.6.46以前、5.7.28以前、8.0.18以前です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Clientを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なしでMySQL Clientをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（CVE-2020-2574）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Oracle による報告：

この重要度緊急パッチ更新には、Oracle MySQLに対する17件の新たなセキュリティ修正が含まれています。これらの脆弱性の5件は、認証なしにリモートで悪用される可能性があります。つまり、ユーザーの認証情報を必要とせずにネットワーク上で悪用される可能性があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
132957	MySQL 5.7.x < 5.7.29の複数の脆弱性（2020年1月CPU）	Nessus	Databases	2020/1/16	2022/10/21	critical
133289	Ubuntu 16.04 LTS / 18.04 LTS : MySQL の脆弱性 (USN-4250-1)	Nessus	Ubuntu Local Security Checks	2020/1/28	2023/10/20	medium
132958	MySQL 8.0.x < 8.0.19の複数の脆弱性（2020年1月CPU）	Nessus	Databases	2020/1/16	2022/10/21	critical
132942	FreeBSD：MySQL -- 複数の脆弱性（a6cf65ad-37d2-11ea-a1c7-b499baebfeaf）	Nessus	FreeBSD Local Security Checks	2020/1/16	2024/3/29	critical

検出

プラグインの検索

critical

medium

critical

critical