このmariadbの10.2.15への更新では、次の問題が修正されます：

これらのセキュリティの問題が修正されました：

  - CVE-2018-2767：埋め込みサーバーライブラリでのSSL/TLSの使用を強制します（BACKRONYMの戻り）（bsc#1088681）。

  - CVE-2018-2786：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。Easily exploitable vulnerability allowed high privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverがアクセスできるデータの一部にアクセスして、更新、挿入、削除したり、さらにMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります（bsc#1089987）。

  - CVE-2018-2759：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。Easily exploitable vulnerability allowed high privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（bsc#1089987）

  - CVE-2018-2777：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。Easily exploitable vulnerability allowed high privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（bsc#1089987）

  - CVE-2018-2810：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。Easily exploitable vulnerability allowed high privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります。（bsc#1089987）

  - CVE-2018-2782：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。Easily exploitable vulnerability allowed low privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）。

  - CVE-2018-2784：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。Easily exploitable vulnerability allowed low privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2787：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。Easily exploitable vulnerability allowed high privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverがアクセスできるデータの一部にアクセスして、更新、挿入、削除したり、さらにMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります（bsc#1089987、bsc#1090518）。

  - CVE-2018-2766：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。Easily exploitable vulnerability allowed high privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2755：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：
    Replication）。悪用が難しい脆弱性ですが、認証されていない攻撃者が、MySQL Serverが実行されているインフラストラクチャにログオンし、MySQL Serverを侵害する可能性がありました。攻撃が成功するには、攻撃者以外の人物の関与が必要であり、MySQL Serverにある脆弱性であっても、攻撃がその他の製品に重大な影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、MySQL Serverの乗っ取りが発生する可能性があります（bsc#1089987、bsc#1090518）。

  - CVE-2018-2819：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：InnoDB）。Easily exploitable vulnerability allowed low privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2817：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：DDL）。
    Easily exploitable vulnerability allowed low privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2761：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：Client programs）。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Serverを侵害する可能性がありました。
    この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2781：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：
    Optimizer）。Easily exploitable vulnerability allowed high privileged attacker with network access via multiple protocols to compromise MySQL Server.
    この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2771：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：
    ロッキング）。悪用が難しい脆弱性ですが、権限が高い攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Serverを侵害する可能性がありました。
    この脆弱性に対する攻撃が成功すると、権限なくMySQL Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする可能性（完全なDOS）があります（bsc#1089987、bsc#1090518）

  - CVE-2018-2813：Oracle MySQLのMySQLServerコンポーネントにおける脆弱性（サブコンポーネント：サーバー：DDL）
    Easily exploitable vulnerability allowed low privileged attacker with network access via multiple protocols to compromise MySQL Server. この脆弱性に対する攻撃が成功すると、MySQL Server がアクセスできるサブセットのデータが、権限なく読み取りアクセスされる可能性があります（bsc#1089987、bsc#1090518）。

以下のセキュリティ以外の問題が、修正されました。

  - PCRE updated to 8.42

  - 回復中の欠落したテーブルスペースの不完全な検証

  - ib_buffer_poolが不必要な一時テーブルスペースを追加します

  - InnoDBが初期化されていないガベージをredoログに書き込む可能性があります

  - 仮想列：dict_table_get_col_nameでアサーションが失敗しました

  - innodbの起動/シャットダウンの遅延がsystemdタイムアウトを上回る可能性があります

  - 5.5からのアップグレード時にdict_check_sys_tablesでアサーションが失敗しました

  - TRUNCATEまたはDROP TABLE中のバッファクラッシュを変更します

  - 一時テーブルROLLBACKの修正

詳細については、

-https://mariadb.com/kb/en/library/mariadb-10215-release-notes

-https://mariadb.com/kb/en/library/mariadb-10215-changelog

MariaDBデータベースサーバーで、いくつかの問題が見つかりました。
脆弱性には、MariaDB を新しい Upstream バージョン 10.0.35 にアップグレードすることで、対処します。詳細については、MariaDB 10.0 リリースノートを参照してください：

https://mariadb.com/kb/en/mariadb/mariadb-10033-release-notes/ https://mariadb.com/kb/en/mariadb/mariadb-10034-release-notes/ https://mariadb.com/kb/en/mariadb/mariadb-10035-release-notes/

Debian 8「Jessie」では、これらの問題はバージョン10.0.35-0+deb8u1で修正されました。

mariadb-10.0パッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**MariaDB 10.2.15**

リリースノート：

https://mariadb.com/kb/en/library/mariadb-10215-release-notes/

CVE が修正されています：

CVE-2018-2755 CVE-2018-2761 CVE-2018-2766 CVE-2018-2771 CVE-2018-2781 CVE-2018-2782 CVE-2018-2784 CVE-2018-2787 CVE-2018-2813 CVE-2018-2817 CVE-2018-2819 CVE-2018-2786 CVE-2018-2759 CVE-2018-2777 CVE-2018-2810

新機能：

  - lz4サポートでビルドするようになりました

機能強化：

  - デーモンの起動時のソケットのチェックにmysqladminが使用されるようになりました

問題：

  - 注意：TokuDBストレージエンジンは、jemallocなしのサポートされていない方法でビルドされています。TokuDBがjemalloc 5を使用してまたはjemallocを全く使用せずにビルドして実行できるように修正されるまで、この方法が維持されます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2019:1258 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - mysql: Server: レプリケーションの詳細不明な脆弱性 (CPU 2017 年 10 月) (CVE-2017-10268)

  - mysql: Server: Optimizer の詳細不明な脆弱性 (CPU 2017 年 10 月) (CVE-2017-10378)

  - mariadb: sql/event_data_objects.cc でのレプリケーションが、ACL チェックの前に発生します (CVE-2017-15365)

  - mysql: Server: パーティションの詳細不明な脆弱性 (CPU 2018 年 1 月) (CVE-2018-2562)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 6 月) (CVE-2018-2612)

  - mysql: Server: DDL の詳細不明な脆弱性 (CPU 2018 年 1 月) (CVE-2018-2622)

  - mysql: Server: Optimizer の詳細不明な脆弱性 (CPU 2018 年 1 月) (CVE-2018-2640、CVE-2018-2665、CVE-2018-2668)

  - mysql: Server: レプリケーションの詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2755)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2759、CVE-2018-2766、CVE-2018-2777、CVE-2018-2782、CVE-2018-2784、CVE-2018-2786、CVE-2018-2787、CVE-2018-2810、CVE-2018-2819)

  - mysql: クライアントプログラムの詳細不明な脆弱性 (CPU 20218 年 4 月) (CVE-2018-2761)

  - mysql: Server: ロッキングの詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2771)

  - mysql: Server: Optimizer の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2781)

  - mysql: Server: DDL の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2813、CVE-2018-2817)

  - mysql: MyISAM の詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3058)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3060、CVE-2018-3064)

  - mysql: Server: Security: 権限の詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3063)

  - mysql: Server: Optimizer の詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3066)

  - mysql: クライアントプログラムの詳細不明な脆弱性 (CPU 2018 年 7 月) (CVE-2018-3081)

  - mysql: Server: パーサーの詳細不明な脆弱性 (CPU 2018 年 10 月) (CVE-2018-3133)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 10 月) (CVE-2018-3143、CVE-2018-3156、CVE-2018-3162、CVE-2018-3173、CVE-2018-3185、CVE-2018-3200、CVE-2018-3251、CVE-2018-3277、CVE-2018-3284)

  - mysql: mysql ユーザーが所有する pidfile からの pid を使用した、root 権限で kill を呼び出す Init スクリプト (CPU 2018 年 10 月) (CVE-2018-3174)

  - mysql: Server: ストレージエンジンの詳細不明な脆弱性 (CPU 2018 年 10 月) (CVE-2018-3282)

  - mysql: Server: パーサーの詳細不明な脆弱性 (CPU 2019 年 1 月) (CVE-2019-2455)

  - mysql: Server: 接続処理の詳細不明な脆弱性 (CPU 2019 年 1 月) (CVE-2019-2503)

  - mysql: InnoDB の詳細不明な脆弱性 (CPU 2019 年 1 月) (CVE-2019-2510)

  - mysql: Server: DDL の詳細不明な脆弱性 (CPU 2019 年 1 月) (CVE-2019-2537)

  - mysql: C API の詳細不明な脆弱性 (CPU 2020 年 7 月) (CVE-2020-14550)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2018:1254 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    MySQL は、マルチユーザー、マルチスレッドの SQL データベースサーバーです。MySQL サーバーデーモン、mysqld、そして多数のクライアントプログラムで構成されています。

    次のパッケージが新しいアップストリームバージョンにアップデートされました: rh-mysql56-mysql (5.6.40)。
    (BZ#1571242)

    セキュリティ修正プログラム: 

    * mysql: Server: レプリケーションの詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2755)

    * mysql: Server: Security: 権限の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2758)

    * mysql: クライアントプログラムの詳細不明な脆弱性 (CPU 20218 年 4 月) (CVE-2018-2761)

    * mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2766)

    * mysql: Server: ロッキングの詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2771)

    * mysql: クライアントプログラムの詳細不明な脆弱性 (CPU 20218 年 4 月) (CVE-2018-2773)

    * mysql: Server: Optimizer の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2781)

    * mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2782)

    * mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2784)

    * mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2787)

    * mysql: GIS 拡張の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2805)

    * mysql: Server: DDL の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2813)

    * mysql: Server: DDL の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2817)

    * mysql: Server: Security: 権限の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2818)

    * mysql: InnoDB の詳細不明な脆弱性 (CPU 2018 年 4 月) (CVE-2018-2819)

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このmysql-community-serverのバージョン5.6.40への更新では、次の問題が修正されます：

修正されたセキュリティ問題：

  - CVE-2018-2755：Replicationコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2819：InnoDBコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2817：Server DDLコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2761：クライアントプログラムでの詳細不明な脆弱性

  - CVE-2018-2818：Server Security Privilegesコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2781：Server Optimizerコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2771：Server lockingコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2813：Server DDLコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2773：クライアントプログラムでの詳細不明な脆弱性

  - CVE-2018-2758：Server Security Privilegesコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2805：GIS Extensionでの詳細不明な脆弱性

  - CVE-2018-2782：InnoDBコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2784：InnoDBコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2787：InnoDBコンポーネントでの詳細不明な脆弱性

  - CVE-2018-2766：InnoDBコンポーネントでの詳細不明な脆弱性

この更新には、5.6.40リリース内のすべてのUpstreamの修正と改善も含まれています：
http://dev.mysql.com/doc/relnotes/mysql/5.6/en/news-5-6-40.html

セキュリティ問題を修正する新しいmariadbパッケージが、Slackware 14.1および14.2で利用可能です。

リモートホストで実行されているMySQLのバージョンは、5.6.40より前の5.6.xです。したがって、2018年4月のOracle Critical Patch Updateアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。追加情報については、該当するCVEのCVRFの詳細を参照してください。Nessusはこれらの問題をテストしていませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of MySQL running on the remote host is 5.7.x prior to 5.7.22. It is, therefore, affected by multiple vulnerabilities as noted in the April 2018 Critical Patch Update advisory. Please consult the CVRF details for the applicable CVEs for additional information.

The version of MySQL running on the remote host is 5.6.x prior to 5.6.40. It is, therefore, affected by multiple vulnerabilities as noted in the April 2018 Critical Patch Update advisory. Please consult the CVRF details for the applicable CVEs for additional information.

The version of MySQL running on the remote host is 5.5.x prior to 5.5.60. It is, therefore, affected by multiple vulnerabilities as noted in the April 2018 Critical Patch Update advisory. Please consult the CVRF details for the applicable CVEs for additional information.

ID	名稱	產品	系列	已發布	已更新	嚴重性
110200	Amazon Linux AMI：mysql57（ALAS-2018-1026）	Nessus	Amazon Linux Local Security Checks	2018/5/30	2024/9/30	high
110408	openSUSEセキュリティ更新プログラム：mariadb（openSUSE-2018-572）	Nessus	SuSE Local Security Checks	2018/6/8	2024/9/24	high
110816	Debian DLA-1407-1: mariadb-10.0のセキュリティ更新	Nessus	Debian Local Security Checks	2018/7/2	2024/9/10	high
120297	Fedora 28：3: mariadb（2018-2513b888a4）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/8	high
194143	RHEL 6 / 7 : rh-mariadb102-mariadb and rh-mariadb102-galera (RHSA-2019:1258)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/6	high
210258	RHEL 6 / 7 : rh-mysql56-mysql (RHSA-2018:1254)	Nessus	Red Hat Local Security Checks	2024/11/5	2025/4/15	high
109424	openSUSEセキュリティ更新プログラム：mysql-community-server（openSUSE-2018-405）	Nessus	SuSE Local Security Checks	2018/4/30	2024/10/16	high
109685	Slackware 14.1/14.2：mariadb（SSA:2018-130-01）	Nessus	Slackware Local Security Checks	2018/5/11	2024/10/10	high
109169	MySQL 5.6.x < 5.6.40 の複数の脆弱性 (RPM 確認) （2018年4月 CPU）	Nessus	Databases	2018/4/19	2024/10/30	high
700626	MySQL 5.7.x < 5.7.22 Multiple Vulnerabilities (April 2018 CPU)	Nessus Network Monitor	Database	2019/4/25	2019/4/25	high
700621	MySQL 5.6.x < 5.6.40 Multiple Vulnerabilities (April 2018 CPU)	Nessus Network Monitor	Database	2019/4/25	2019/4/25	high
700615	MySQL 5.5.x < 5.5.60 Multiple Vulnerabilities (April 2018 CPU)	Nessus Network Monitor	Database	2019/4/25	2019/4/25	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high