MySQLで複数のセキュリティの問題が発見されました。この更新には、これらの問題を修正する新しいUpstreamバージョンのMySQLが含まれています。

Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 19.04は、MySQL 5.7.27に更新されています。

更新済みパッケージには、セキュリティの修正に加えてバグ修正と新しい機能が含まれていますが、互換性のない変更が含まれている場合もあります。

詳細については、以下を参照してください。
http://dev.mysql.com/doc/relnotes/mysql/5.7/en/news-5-7-27.html https://www.oracle.com/technetwork/security-advisory/cpujul2019-507283 5.html。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストで実行されているMySQLのバージョンは、8.0.17より前の8.0.xです。したがって、2019 年 7 月と 2022 年 10 月の Critical Patch Update アドバイザリに記載されているとおり、下記に示す主な 3 つの脆弱性を含む複数の脆弱性の影響を受けます。

  -以下における詳細不明の脆弱性「Shell: Admin / InnoDB Cluster」サブコンポーネントにより、認証されていない攻撃者が影響を受けるMySQLサーバーを乗っ取る可能性があります。この攻撃を成功させるには人間の関与が必要です。
    (CVE-2019-2822)

  -「Server: Replication」サブコンポーネントの詳細不明な脆弱性により、攻撃者がサーバーをハングアップさせたり、頻繁にクラッシュを繰り返して完全なサービス拒否を引き起こしたりする可能性があります。
    また、この脆弱性の悪用に成功した攻撃者が、MySQLサーバーがアクセスできる一部のデータに不正な変更を加える可能性があります。（CVE-2019-2800）

  -「Server: Charsets」サブコンポーネントの詳細不明な脆弱性により、攻撃者がサーバーをハングアップさせたり、頻繁にクラッシュを繰り返して完全なサービス拒否を引き起こしたりする可能性があります。
    (CVE-2019-2795)

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Oracle による報告：

この重要度緊急のパッチ更新には、Oracle MySQLに対する45件の新たなセキュリティ修正が含まれていますこれらの脆弱性のうち4件は、認証なしにリモートで悪用される可能性があります。つまり、ユーザーの認証情報を必要とせずにネットワーク上で悪用される可能性があります。

リモートホストで実行されているMySQLのバージョンは、5.7.27より前の5.7.xです。したがって、2019年7月のCritical Patch Updateアドバイザリに記載されているとおり、下記に示す主な3つの脆弱性を含む複数の脆弱性の影響を受けます。

  - 以下におけるスタックベースのバッファオーバーフローの脆弱性「Server: Packaging (cURL)」サブコンポーネントのスタックベースのバッファオーバーフローの脆弱性により、認証されていない攻撃者が、MySQL Serverの影響を受けるインスタンスを完全に制御する可能性があります。（CVE-2019-3822）

  -「Server: Parser」サブコンポーネントの脆弱性。
    これは、権限の低い攻撃者が複数のプロトコルを介してネットワークにアクセスしサーバーを侵害する可能性がある、容易に悪用可能な脆弱性です。この脆弱性に関する攻撃が成功すると、権限なくハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（CVE-2019-2805）

  -「Server: XML」サブコンポーネントの脆弱性。これは、権限の低い攻撃者が複数のプロトコルを介してネットワークにアクセスしサーバーを侵害する可能性がある、容易に悪用可能な脆弱性です。この脆弱性に関する攻撃が成功すると、権限なくハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります。
    (CVE-2019-2740)

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
127041	Ubuntu 16.04 LTS / 18.04 LTS: MySQL の脆弱性 (USN-4070-1)	Nessus	Ubuntu Local Security Checks	2019/7/25	2023/10/20	medium
126784	MySQL 8.0.x < 8.0.17の複数の脆弱性（2019年7月CPU）	Nessus	Databases	2019/7/18	2022/10/25	high
126928	FreeBSD：MySQL -- 複数の脆弱性（198e6220-ac8b-11e9-a1c7-b499baebfeaf）	Nessus	FreeBSD Local Security Checks	2019/7/23	2024/5/8	critical
126783	MySQL 5.7.x < 5.7.27の複数の脆弱性（2019年7月CPU）	Nessus	Databases	2019/7/18	2024/5/9	critical

検出

プラグインの検索

medium

high

critical

critical