UbuntuのMySQLアップデートはサーバーのデータ操作とDoSの脆弱性を解決します

Oracle MySQL

OracleMySQLプラットフォームのサーバーおよびクライアントコンポーネントに15の中優先度の脆弱性が見つかりました。脆弱性にはCVEラベルが割り当てられています CVE-2018-2767 、 CVE-2018-3054 、 CVE-2018-3056 、 CVE-2018-3058 、 CVE-2018-3060 、 CVE-2018-3061 、 CVE-2018-3062 、 CVE-2018-3063 、 CVE-2018-3064 、 CVE-2018-3065 、 CVE-2018-3066 、 CVE-2018-3070 、 CVE-2018-3071 、 CVE-2018-3077 、 CVE-2018-3081 。これらの脆弱性を悪用するには、攻撃者が複数のプロトコルを介してネットワークアクセスを取得し、MySQLサーバーを侵害する必要があります。

CVE-2018-2767（CVSS 3.0基本スコア3.1）は、5.5.60、5.6.40、および5.7.22までのバージョンに影響を与えるServer：Security：Encryptionサブコンポーネントに影響を与えます。この脆弱性が悪用されると、攻撃者に不正な読み取りアクセスが許可される可能性があります。

CVE-2018-3054（CVSS 3.0基本スコア4.9）は、Server：DDLサブコンポーネントに影響を与えます。 5.7.22および8.0.11までのすべてのバージョンに影響します。この脆弱性は簡単に悪用可能であり、攻撃者はDoSを使用してシステムを繰り返しクラッシュさせることができます。

CVE-2018-3056（CVSS 3.0基本スコア4.3）は、Server：Security：Privilegesサブコンポーネントに影響を与えます。 5.7.22および8.0.11までのすべてのバージョンに影響します。この脆弱性は簡単に悪用可能であると判断されており、攻撃者はMySQLServerの読み取り可能なデータのサブセットに不正に読み取りアクセスできます。

CVE-2018-2058（CVSS 3.0基本スコア4.3）は、MyISAMサブコンポーネントに影響を与えます。 5.5.60、5.6.40、および5.7.22までのバージョンに影響します。この脆弱性は簡単に悪用可能であると評価され、MySQLサーバーデータへの不正な更新、挿入、または削除アクセスを攻撃者に許可します。

CVE-2018-3060（CVSS 3.0基本スコア6.5）は、ImoDBサブコンポーネントに影響を与えます。 5.7.22および8.0.11までのバージョンに影響します。これは簡単に悪用可能であり、悪用に成功すると、攻撃者は重要なサーバーデータを作成、削除、または変更したり、完全なDoSでシステムを繰り返しクラッシュさせたりすることができます。

CVE-2018-3061（CVSS 3.0基本スコア4.9）は、DMLサブコンポーネントに影響を与えます。 5.7.22までのバージョンに影響します。この脆弱性は簡単に悪用可能であり、DoSのクラッシュを繰り返す可能性があります。

CVE-2018-3062（CVSS 3.0基本スコア5.3）は、Memcachedサブコンポーネントに影響を与えます。 5.6.40、5.7.22、および8.0.11までのバージョンに影響します。この脆弱性を悪用することは困難ですが、攻撃が成功すると、サーバーの頻繁に繰り返されるDoSクラッシュが発生する可能性があります。

CVE-2018-3063（CVSS 3.0基本スコア4.9）は、Server：Security：Privelegesサブコンポーネントに影響を与えます。 5.5.60までのバージョンに影響します。これは簡単に悪用可能であり、完全なDoSの頻繁に繰り返されるクラッシュを可能にします。

CVE-2018-3064（CVSS 3.0基本スコア7.1）は、InnoDBサブコンポーネントに影響を与えます。 5.6.40、5.7.22、および8.0.11までのバージョンに影響します。これは簡単に悪用され、特権の低い攻撃者がサーバーデータを更新、挿入、または削除して、DoSクラッシュを繰り返し引き起こす可能性があります。

CVE-2018-3065（CVSS 3.0基本スコア6.5）は、DMLサブコンポーネントに影響を与えます。 5.7.22および8.0.11までのバージョンに影響します。エクスプロイトでは、DoSのクラッシュを繰り返すことができます。

CVE-2018-3066（CVSS 3.0基本スコア3.3）は、Server：Optionsサブコンポーネントに影響を与えます。 5.5.60、5.6.40m、5.7.22までのバージョンに影響します。悪用が困難な脆弱性により、サーバーデータへの読み取り、更新、挿入、または削除アクセスが可能になります。

CVE-2018-3070（CVSS 3.0基本スコア6.5）は、クライアントのmysqldumpサブコンポーネントに影響を与えます。 5.5.60、5.6.40、および5.7.22までのバージョンに影響します。エクスプロイトは、繰り返し可能なDoSクラッシュを可能にします。

CVE-2018-3071（CVSS 3.0基本スコア4.9）は、監査ログサブコンポーネントに影響を与えます。 5.7.22までのバージョンに影響します。この脆弱性を悪用すると、攻撃者は繰り返し可能なDoSクラッシュを引き起こす可能性があります。

CVE-2018-3077（CVSS 3.0基本スコア4.9）は、Server：DDLサブコンポーネントに影響を与えます。 5.7.22および8.0.11までのバージョンに影響します。エクスプロイトにより、繰り返し可能なDoSクラッシュが可能になります。

CVE-2018-3081（CVSS 3.0基本スコア5.0）は、MySQLクライアントコンポーネントのクライアントプログラムサブコンポーネントに影響を与えます。 5.5.60、5.6.40、5.7.22、および8.0.11までのバージョンに影響します。この脆弱性を悪用することは困難ですが、悪用された場合、MySQLクライアントのアクセス可能なデータへのアクセスを更新、挿入、または削除し、繰り返し可能なDoSクラッシュを引き起こす可能性があります。

アドバイザリに従って（ 1 / 2 ）Ubuntu Webサイトに投稿され、これらの脆弱性によってもたらされる脅威を解決するために、それぞれのUbuntuバージョンのパッケージアップデートがリリースされました。更新 mysql-server-5.7 - 5.7.2.3-0ubuntu0.18.04.1 Ubuntu 18.04LTS用であり mysql-server-5.7 - 5.7.2.3-0ubuntu0.16.04.1 Ubuntu 16.04LTS用です。 Ubuntu 14.04LTSおよびUbuntu12.04ESMのアップデートは次のとおりです。 mysql-server-5.5 - 5.5.61-0ubuntu0.14.04.1 そして mysql-server-5.5 – 5.5.61-0ubuntu0.12.04.1 。これらのアップデートは、Webサイトからダウンロードして、直接インストールできます。

デスクトップ用の更新マネージャーを開いて、[設定]タブで保留中の更新を確認することもできます。アップデートをクリックしてインストールを続行すると、パッチが適用されます。サーバーのupdate-notifier-commonパッケージでは、「sudoapt-getupdate」および「sudoapt-getdist-upgrade」を使用して更新を確認できます。更新を続行するためのアクセス許可を許可すると、更新を直接インストールできます。