偵測

MySQL Enterprise Monitor 4.x < 4.0.9 / 8.x < 8.0.16 (2019 年 4 月 CPU)

medium Nessus Plugin ID 138903

語系：

概要

MySQL Enterprise Monitor running on the remote host is affected by an information disclosure vulnerability

說明

遠端主機偵測到的 MySQL Enterprise Monitor 版本所使用的 OpenSSL 版本受到一個弱點影響。如果應用程式遇到嚴重的通訊協定錯誤並呼叫兩次 SSL_shutdown() (這兩次分別是要傳送和接收 close_notify)，隨後 OpenSSL 可比對接收到的 0 位元組記錄是含有無效填補或無效 MAC 位址，對呼叫的應用程式給予不同的回應。如果應用程式據此出現不同的行為，且該行為可由遠端對等端偵測出來，那麼會發展成可用來解密資料的 padding oracle。一定要使用「非拼接式」(non-stitched) 密碼套件，此弱點才能被惡意利用。拼接式密碼套件是若干常用密碼套件的最佳實作。此外，應用程式必須在即使發生通訊協定錯誤的情況下，呼叫 SSL_shutdown() 兩次 (應用程式不應該這麼做，但有些還是會如此)。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

解決方案

Upgrade to MySQL Enterprise Monitor version 4.0.9, 8.0.16 or later as referenced in the Oracle security advisory.

另請參閱

https://www.oracle.com/security-alerts/cpuapr2019.html#AppendixMSQL

Plugin 詳細資訊

嚴重性: Medium

ID: 138903

檔案名稱: mysql_enterprise_monitor_8_0_16.nasl

版本: 1.3

類型: remote

系列: CGI abuses

已發布: 2020/7/24

已更新: 2022/12/5

支援的感應器: Nessus

風險資訊

VPR

風險因素: Medium

分數: 4.4

CVSS v2

風險因素: Medium

基本分數: 4.3

時間分數: 3.2

媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N

CVSS 評分資料來源: CVE-2019-1559

CVSS v3

風險因素: Medium

基本分數: 5.9

時間分數: 5.2

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

弱點資訊

CPE: cpe:/a:oracle:mysql_enterprise_monitor

必要的 KB 項目: installed_sw/MySQL Enterprise Monitor

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2019/4/16

弱點發布日期: 2019/2/27

參考資訊

CVE: CVE-2019-1559