Debian DLA-1079-1：libdbd-mysql-perl 安全性更新

critical Nessus Plugin ID 102887

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

「mysql」命令行用戶端中使用的 Perl 程式庫 (與 MySQL 資料庫相互通訊) 在連線到惡意伺服器時，容易受到 SSL 組態中的攔截式攻擊和遠端損毀。CVE-2017-10788 Perl 中 DBD::mysql 模組到 4.042 為止的所有版本讓遠端攻擊者可藉由透過觸發 (1) 來自 MySQL 伺服器的特定錯誤回應或 (2) 失去與 MySQL 伺服器的連線，造成拒絕服務 (釋放後使用和應用程式損毀) 或可能有其他不明影響。依靠錯誤的 Oracle mysql_stmt_close 文件和程式碼範本造成引發釋放後使用缺陷。CVE-2017-10789 Perl 中的 DBD::mysql 模組到 4.042 為止的所有版本使用 mysql_ssl=1 設定來代表 SSL 是選用項目 (即使此設定的文件中有聲明「會加密您與伺服器的通訊」)，攔截式攻擊者可藉此透過明文降級攻擊來偽造伺服器，這是與 CVE-2015-3152 相關的問題。針對 Debian 7「Wheezy」，這些問題已在 4.021-1+deb7u3 版本中修正。建議您升級 libdbd-mysql-perl 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。