openSUSE 安全性更新：mariadb (openSUSE-2016-761)
medium Nessus Plugin ID 91794
語系：
概要
遠端 openSUSE 主機缺少安全性更新。說明
mariadb 已更新至 10.0.25 版，可修正 25 個安全性問題。已修正這些安全性問題：
- CVE-2016-0505：不明弱點允許經驗證的遠端使用者透過與 Options 相關的未知向量，影響可用性 (bsc#980904)。
- CVE-2016-0546：不明弱點允許本機使用者透過與 Client 相關的未知向量，影響機密性、完整性和可用性 (bsc#980904)。
- CVE-2016-0596：不明弱點允許經驗證的遠端使用者透過與 DML 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0597：不明弱點允許經驗證的遠端使用者透過與 Optimizer 相關的未知向量，影響可用性 (bsc#980904)。
- CVE-2016-0598：不明弱點允許經驗證的遠端使用者透過與 DML 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0600：不明弱點允許經驗證的遠端使用者透過與 InnoDB 相關的未知向量，影響可用性 (bsc#980904)。
- CVE-2016-0606：不明弱點允許經驗證的遠端使用者透過與加密相關的未知向量，影響完整性 (bsc#980904)。
- CVE-2016-0608：不明弱點允許經驗證的遠端使用者透過與 UDF 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0609：不明弱點允許經驗證的遠端使用者透過與權限相關的未知向量，影響可用性 (bsc#980904)。
- CVE-2016-0616：不明弱點允許經驗證的遠端使用者透過與 Optimizer 相關的未知向量，影響可用性 (bsc#980904)。
- CVE-2016-0640：不明弱點允許本機使用者透過與 DML 相關的向量，影響完整性和可用性 (bsc#980904)。
- CVE-2016-0641：不明弱點允許本機使用者透過與 MyISAM 相關的向量，影響機密性和可用性 (bsc#980904)。
- CVE-2016-0642：不明弱點允許本機使用者透過與 Federated 相關的向量，影響完整性和可用性 (bsc#980904)。
- CVE-2016-0643：不明弱點允許本機使用者透過與 DML 相關的向量，影響機密性 (bsc#980904)。
- CVE-2016-0644：不明弱點允許本機使用者透過與 DDL 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0646：不明弱點允許本機使用者透過與 DML 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0647：不明弱點允許本機使用者透過與 FTS 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0648：不明弱點允許本機使用者透過與 PS 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0649：不明弱點允許本機使用者透過與 PS 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0650：不明弱點允許本機使用者透過與 Replication 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0651：不明弱點允許本機使用者透過與 Optimizer 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0655：不明弱點允許本機使用者透過與 InnoDB 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0666：不明弱點允許本機使用者透過與 Security: Privileges 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-0668：不明弱點允許本機使用者透過與 InnoDB 相關的向量，影響可用性 (bsc#980904)。
- CVE-2016-2047：sql-common/client.c 中的 ssl_verify_server_cert 函式未正確驗證伺服器主機名稱是否與主體之共用名稱 (CN) 中的網域名稱或 X.509 憑證的 subjectAltName 欄位相符，這會允許攔截式攻擊者透過憑證之欄位中的「/CN=」字串偽造 SSL 伺服器，「/OU=/CN=bar.com/CN=foo.com」即為一例 (bsc#963806)。
已修正下列非安全性錯誤：
- bsc#970295：修正 logrotate 錯誤訊息中「logrotate.d/mysql」字串的未解決問題。出現的此字串已變更為「logrotate.d/mariadb」
- bsc#963810：新增「log-error」和「secure-file-priv」組態選項
- 新增「/etc/my.cnf.d/error_log.conf」，其指定「log-error = /var/log/mysql/mysqld.log」。若未設定路徑，會將錯誤記錄寫入並非由 logrotate 擷取的「/var/lib/mysql/$HOSTNAME.err」。
- 新增「/etc/my.cnf.d/secure_file_priv.conf」，其指定「LOAD DATA」、「SELECT ...INTO」和「LOAD FILE()」僅處理「secure-file-priv」選項指定之目錄中的檔案 (=「/var/lib/mysql-files」)。
- 暫時停用 OQGraph。其似乎需要版本介於 1.40 到 1.55 之間的 boost 程式庫 (MDEV-9479)
- boo#979524：不移除 HandlerSocket 外掛程式
- boo#970287：新增「BuildRequires: jemalloc-devel」以允許啟用 TokuDB 外掛程式
- 若 mysql 使用者不在 mysql 群組中，則僅執行「usermod -g mysql mysql」。若 mysql 使用者未設定「/bin/false」shell，則僅執行「usermod -s /bin/false/ mysql」。
- 重新啟用設定檔支援
解決方案
更新受影響的 mariadb 套件。另請參閱
https://bugzilla.opensuse.org/show_bug.cgi?id=963806
https://bugzilla.opensuse.org/show_bug.cgi?id=963810
https://bugzilla.opensuse.org/show_bug.cgi?id=970287
https://bugzilla.opensuse.org/show_bug.cgi?id=970295
Plugin 詳細資訊
嚴重性: Medium
ID: 91794
檔案名稱: openSUSE-2016-761.nasl
版本: 2.4
類型: local
代理程式: unix
已發布: 2016/6/24
已更新: 2021/1/19
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.6
CVSS v2
風險因素: High
基本分數: 7.2
媒介: CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C
CVSS v3
風險因素: Medium
基本分數: 6.1
媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H
弱點資訊
CPE: p-cpe:/a:novell:opensuse:libmysqlclient-devel, p-cpe:/a:novell:opensuse:libmysqlclient18, p-cpe:/a:novell:opensuse:libmysqlclient18-32bit, p-cpe:/a:novell:opensuse:libmysqlclient18-debuginfo, p-cpe:/a:novell:opensuse:libmysqlclient18-debuginfo-32bit, p-cpe:/a:novell:opensuse:libmysqlclient_r18, p-cpe:/a:novell:opensuse:libmysqlclient_r18-32bit, p-cpe:/a:novell:opensuse:libmysqld-devel, p-cpe:/a:novell:opensuse:libmysqld18, p-cpe:/a:novell:opensuse:libmysqld18-debuginfo, p-cpe:/a:novell:opensuse:mariadb, p-cpe:/a:novell:opensuse:mariadb-bench, p-cpe:/a:novell:opensuse:mariadb-bench-debuginfo, p-cpe:/a:novell:opensuse:mariadb-client, p-cpe:/a:novell:opensuse:mariadb-client-debuginfo, p-cpe:/a:novell:opensuse:mariadb-debuginfo, p-cpe:/a:novell:opensuse:mariadb-debugsource, p-cpe:/a:novell:opensuse:mariadb-errormessages, p-cpe:/a:novell:opensuse:mariadb-test, p-cpe:/a:novell:opensuse:mariadb-test-debuginfo, p-cpe:/a:novell:opensuse:mariadb-tools, p-cpe:/a:novell:opensuse:mariadb-tools-debuginfo, cpe:/o:novell:opensuse:13.2
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
修補程式發佈日期: 2016/6/23
參考資訊
CVE: CVE-2016-0505, CVE-2016-0546, CVE-2016-0596, CVE-2016-0597, CVE-2016-0598, CVE-2016-0600, CVE-2016-0606, CVE-2016-0608, CVE-2016-0609, CVE-2016-0616, CVE-2016-0640, CVE-2016-0641, CVE-2016-0642, CVE-2016-0643, CVE-2016-0644, CVE-2016-0646, CVE-2016-0647, CVE-2016-0648, CVE-2016-0649, CVE-2016-0650, CVE-2016-0651, CVE-2016-0655, CVE-2016-0666, CVE-2016-0668, CVE-2016-2047