Amazon Linux AMI:mysql56 (ALAS-2016-701)

critical Nessus Plugin ID 91239

Synopsis

遠端 Amazon Linux AMI 主機缺少一個安全性更新。

描述

在 OpenSSL 剖析特定格式錯誤之 DSA (數位簽章演算法) 私密金鑰的方式中,發現一個重複釋放瑕疵。攻擊者可建立特製 DSA 私密金鑰,在針對 OpenSSL 編譯的應用程式處理該私密金鑰時,會造成應用程式損毀。(CVE-2016-0705)

在 Oracle MySQL 5.6.29 和更舊版本的 sql-common/client.c 中,ssl_verify_server_cert 函式未正確驗證伺服器主機名稱是否與主體之一般名稱 (CN) 中的網域名稱或 X.509 憑證的 subjectAltName 欄位相符,這會允許攔截式攻擊者透過憑證之欄位中的「/CN=」字串偽造 SSL 伺服器,「/OU=/CN=bar.com/CN=foo.com」即為一例。(CVE-2016-2047)

在 Oracle MySQL 5.6.29 和更舊版本中,有一個不明弱點允許遠端攻擊者透過與 Pluggable Authentication 相關的向量,影響機密性、完整性和可用性。
(CVE-2016-0639)

在 5.6.29 和更舊版本的 Oracle MySQL 中存在一個不明弱點,允許本機使用者透過與 FTS 有關的向量,影響可用性。
(CVE-2016-0647)

在 5.6.29 和更舊版本的 Oracle MySQL 中存在一個不明弱點,允許本機使用者透過與 Federated 有關的向量,影響完整性和可用性。(CVE-2016-0642)

在 5.6.29 和更舊版本的 Oracle MySQL 中存在一個不明弱點,允許本機使用者透過與 DML 有關的向量,影響機密性。
(CVE-2016-0643)

在 5.6.29 和更舊版本的 Oracle MySQL 中存在一個不明弱點,允許本機使用者透過與 Security: Privileges 有關的向量,影響
可用性。(CVE-2016-0666)

在 5.6.29 和更舊版本的 Oracle MySQL 中存在一個不明弱點,允許本機使用者透過與 PS 有關的向量,影響可用性。
(CVE-2016-0648)

在 5.6.29 和更舊版本的 Oracle MySQL 中存在一個不明弱點,允許本機使用者透過與 InnoDB 有關的向量,影響可用性。
(CVE-2016-0655)

解決方案

執行「yum update mysql56」以更新系統。

另請參閱

https://alas.aws.amazon.com/ALAS-2016-701.html

Plugin 詳細資訊

嚴重性: Critical

ID: 91239

檔案名稱: ala_ALAS-2016-701.nasl

版本: 2.3

類型: local

代理程式: unix

已發布: 2016/5/19

已更新: 2018/4/18

支持的傳感器: Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent

風險資訊

VPR

風險因素: Medium

分數: 6.7

CVSS v2

風險因素: Critical

基本分數: 10

媒介: AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS v3

風險因素: Critical

基本分數: 9.8

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

弱點資訊

CPE: p-cpe:/a:amazon:linux:mysql56, p-cpe:/a:amazon:linux:mysql56-bench, p-cpe:/a:amazon:linux:mysql56-common, p-cpe:/a:amazon:linux:mysql56-debuginfo, p-cpe:/a:amazon:linux:mysql56-devel, p-cpe:/a:amazon:linux:mysql56-embedded, p-cpe:/a:amazon:linux:mysql56-embedded-devel, p-cpe:/a:amazon:linux:mysql56-errmsg, p-cpe:/a:amazon:linux:mysql56-libs, p-cpe:/a:amazon:linux:mysql56-server, p-cpe:/a:amazon:linux:mysql56-test, cpe:/o:amazon:linux

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

修補程式發佈日期: 2016/5/18

參考資訊

CVE: CVE-2016-0639, CVE-2016-0642, CVE-2016-0643, CVE-2016-0647, CVE-2016-0648, CVE-2016-0655, CVE-2016-0666, CVE-2016-0705, CVE-2016-2047

ALAS: 2016-701