The 9.0.0, 9.1.0 and 9.2.0 versions of MySQL Connectors installed on the remote host are affected by multiple vulnerabilities as referenced in the April 2025 CPU advisory.

  - Use of the low-level GF(2^m) elliptic curve APIs with untrusted explicit values for the field polynomial     can lead to out-of-bounds memory reads or writes. (CVE-2024-9143)

  - Issue summary: Use of the low-level GF(2^m) elliptic curve APIs with untrusted explicit values for the     field polynomial can lead to out-of-bounds memory reads or writes. Impact summary: Out of bound memory     writes can lead to an application crash or even a possibility of a remote code execution, however, in all     the protocols involving Elliptic Curve Cryptography that we're aware of, either only named curves are     supported, or, if explicit curve parameters are supported, they specify an X9.62 encoding of binary     (GF(2^m)) curves that can't represent problematic input values. Thus the likelihood of existence of a     vulnerable application is low. In particular, the X9.62 encoding is used for ECC keys in X.509     certificates, so problematic inputs cannot occur in the context of processing X.509 certificates. Any     problematic use-cases would have to be using an exotic curve encoding. The affected APIs include:
    EC_GROUP_new_curve_GF2m(), EC_GROUP_new_from_params(), and various supporting BN_GF2m_*() functions.
    Applications working with exotic explicit binary (GF(2^m)) curve parameters, that make it possible to     represent invalid field polynomials with a zero constant term, via the above or similar APIs, may     terminate abruptly as a result of reading or writing outside of array bounds. Remote code execution cannot     easily be ruled out. The FIPS modules in 3.3, 3.2, 3.1 and 3.0 are not affected by this issue.
    (CVE-2024-9143)

  - Issue summary: A timing side-channel which could potentially allow recovering the private key exists in     the ECDSA signature computation. Impact summary: A timing side-channel in ECDSA signature computations     could allow recovering the private key by an attacker. However, measuring the timing would require either     local access to the signing application or a very fast network connection with low latency. There is a     timing signal of around 300 nanoseconds when the top word of the inverted ECDSA nonce value is zero. This     can happen with significant probability only for some of the supported elliptic curves. In particular the     NIST P-521 curve is affected. To be able to measure this leak, the attacker process must either be located     in the same physical computer or must have a very fast network connection with low latency. For that     reason the severity of this vulnerability is Low. The FIPS modules in 3.4, 3.3, 3.2, 3.1 and 3.0 are     affected by this issue. (CVE-2024-13176)

  - Vulnerability in the MySQL Connectors product of Oracle MySQL (component: Connector/J). Supported versions     that are affected are 9.0.0-9.2.0. Difficult to exploit vulnerability allows low privileged attacker with     network access via multiple protocols to compromise MySQL Connectors. Successful attacks of this     vulnerability can result in takeover of MySQL Connectors. (CVE-2025-30706)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Vulnerability in the MySQL Connectors product of Oracle MySQL (component: Connector/J). Supported versions     that are affected are 9.0.0-9.2.0. Difficult to exploit vulnerability allows low privileged attacker with     network access via multiple protocols to compromise MySQL Connectors. Successful attacks of this     vulnerability can result in takeover of MySQL Connectors. (CVE-2025-30706)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Oracle MySQL の MySQL コネクター製品における脆弱性 (コンポーネント: Connector/J)。サポートされているバージョンで影響を受けるのは、9.0.0-9.2.0 です。悪用が難しい脆弱性ですが、権限が低い攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Connectors を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、MySQL Connectors の乗っ取りが発生する可能性があります。(CVE-2025-30706)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている MySQL コネクターの 9.0.0、9.1.0、9.2.0 バージョンは、2025 年 4 月の CPU アドバイザリに記載された複数の脆弱性の影響を受けます。

  - 体多項式に信頼できない明示的な値を含む低レベル GF(2^m) 楕円曲線 API を使用すると、領域外のメモリ読み取りまたは書き込みが発生する可能性があります。(CVE-2024-9143)

  - 問題サマリー: 体多項式に信頼できない明示的な値を含む低レベル GF(2^m) 楕円曲線 API を使用すると、領域外のメモリ読み取りまたは書き込みが発生する可能性があります。影響の概要: 領域外メモリの書き込みにより、アプリケーションのクラッシュを引き起こしたり、リモートコードが実行されたりする可能性があります。ただし、弊社が把握している楕円曲線暗号に関連するすべてのプロトコルは、名前付き曲線のみがサポートされているか、明示的な曲線パラメーターがサポートされている場合、問題のある入力値を表現できないバイナリ (GF(2^m)) 曲線の X9.62 エンコーディングを指定します。したがって、脆弱なアプリケーションが存在する可能性は低いです。特に、X.509 証明書の ECC キーには X9.62 エンコーディングが使用されるため、X.509 証明書を処理するコンテキストで問題のある入力が発生することはありません。問題のあるユースケースでは、特殊な曲線エンコーディングを使用する必要があります。影響を受ける API は次のとおりです。
    EC_GROUP_new_curve_GF2m()、EC_GROUP_new_from_params()、およびさまざまなサポート BN_GF2m_*() 関数。
    上記または同様の API を介して、ゼロ定数項を持つ無効な体多項式を表すことを可能にする、特殊な明示的バイナリ (GF(2^m)) 曲線パラメーターで動作するアプリケーションは、配列境界外での読み取りまたは書き込みの結果として突然終了する可能性があります。リモートコードの実行を簡単に排除することはできません。3.3、3.2、3.1、および 3.0 の FIPS モジュールは、この問題の影響を受けません。
    (CVE-2024-9143)

  問題サマリー: 秘密鍵の回復を可能にする可能性があるタイミングサイドチャネルが、ECDSA 署名計算に存在します。影響サマリー: ECDSA 署名計算におけるタイミングサイドチャネルにより、攻撃者が秘密鍵を復元できる可能性があります。ただし、タイミングを測定するには、署名アプリケーションへのローカルアクセスか、低遅延で非常に高速なネットワーク接続が必要です。反転された ECDSA nonce 値のトップワードがゼロの場合、約 300 ナノ秒のタイミング信号があります。これは、サポートされている楕円曲線の一部でのみ、かなりの確率で発生する可能性があります。特に、NIST P-521 曲線が影響を受けます。この漏洩を測定するには、攻撃者のプロセスが同じ物理コンピューター内に存在するか、低遅延で非常に高速なネットワーク接続を使用している必要があります。そのため、この脆弱性の深刻度は [低] です。3.4、3.3、3.2、3.1、および 3.0 の FIPS モジュールは、この問題の影響を受けます。(CVE-2024-13176)

  - Oracle MySQL の MySQL コネクター製品における脆弱性 (コンポーネント: Connector/J)。サポートされているバージョンで影響を受けるのは、9.0.0-9.2.0 です。悪用が難しい脆弱性ですが、権限が低い攻撃者が複数のプロトコルを使用してネットワークにアクセスし、MySQL Connectors を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、MySQL Connectors の乗っ取りが発生する可能性があります。(CVE-2025-30706)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程主机上安装的 MySQL Connectors 9.0.0、9.1.0 和 9.2.0 版受到 2025 年 4 月 CPU 公告中提及的多个漏洞影响。

  - 使用字段多项式具有不受信任的显式值的低级 GF(2^m) 椭圆曲线 API 可导致越界内存读取或写入。(CVE-2024-9143)

  - 问题摘要：使用字段多项式具有不受信任的显式值的低级 GF(2^m) 椭圆曲线 API 可导致越界内存读取或写入。影响摘要：越界内存写入可导致应用程序崩溃，甚至可能导致远程代码执行，但是，在我们所知的涉及椭圆曲线加密的所有协议中，要么仅支持指定的曲线，要么如果支持显式曲线参数，则其针对无法表示有问题的输入值的二进制 (GF(2^m)) 曲线指定 X9.62 编码。因此，存在易受攻击的应用程序的可能性很低。特别是，X9.62 编码用于 X.509 证书中的 ECC 密钥，因此处理 X.509 证书的上下文中不会发生有问题的输入。任何有问题的用例必须使用异常曲线编码。受影响的 API 包括：
    EC_GROUP_new_curve_GF2m()、EC_GROUP_new_from_params() 和多个支持性 BN_GF2m_*() 函数。
    使用异常显式二进制 (GF(2^m)) 曲线参数的应用程序（通过上述 API 或类似 API 可以用零常数项表示无效的域多项式）可能会因外部读取或写入而突然终止数组边界。无法轻易排除执行远程代码的可能性。3.3、3.2、3.1 和 3.0 中的 FIPS 模块不受此问题影响。
    (CVE-2024-9143)

  - 问题摘要： ECDSA 签名计算中存在时序边信道，可能允许恢复私钥。影响摘要： ECDSA 签名计算中的时序边信道可以让攻击者恢复私钥。但是，测量时序需要对签名应用程序进行本地访问，或者需要具有低延迟且非常快速的网络连接。当 top word ofthe inverted ECDSA nonce 值为 0 时，会出现约 300 纳秒的计时信号。只有在某些受支持的椭圆曲线上发生这种情况的可能性才较大。尤其是 NIST P-521 曲线会受到影响。为了能够测量此泄漏，攻击者进程必须位于同一台物理计算机中，或必须具有低延迟的极快网络连接。因此，此漏洞的严重性为低危。3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模块受此问题影响。(CVE-2024-13176)

  Oracle MySQL 的 MySQL Connectors 产品中的漏洞（组件：Connector/J）。支持的版本中受影响的是 9.0.0-9.2.0。难以利用的漏洞允许低权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Connectors。成功利用此漏洞进行攻击可导致接管 MySQL Connector。(CVE-2025-30706)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 MySQL Connectors 9.0.0、9.1.0 和 9.2.0 版受到 2025 年 4 月 CPU 公告中提及的多個弱點影響。

  - 低階 GF(2^m) 橢圓曲線 API 搭配不受信任的欄位多項式明確值使用，可導致超出邊界記憶體讀取或寫入。(CVE-2024-9143)

  - 問題摘要：低階 GF(2^m) 橢圓曲線 API 搭配不受信任的欄位多項式明確值使用，可導致超出邊界記憶體讀取或寫入。影響摘要：超出邊界記憶體寫入可導致應用程式損毀，甚或可能導致遠端程式碼執行，然而，在我們所知的所有涉及橢圓曲線密碼編譯的協議中，要麼僅支援命名曲線，要麼如果支援明確的曲線參數，它們會指定無法代表有問題輸入值之二進位 (GF(2^m)) 曲線的 X9.62 編碼。因此，有弱點的應用程式存在的可能性很低。特別是，X9.62 編碼用於 X.509 憑證中的 ECC 金鑰，因此在處理 X.509 憑證的情境中不會發生有問題的輸入。任何有問題的使用案例都必須使用特殊曲線編碼。受影響的 API 包括：
    EC_GROUP_new_curve_GF2m()、EC_GROUP_new_from_params() 以及多種支援的 BN_GF2m_*() 函式。
    使用異常顯式二進位 (GF(2^m)) 曲線參數的應用程式，如果透過上述或類似的 API 使得能夠用零常數項表示無效的欄位多項式，可能會因為讀取或寫入超出陣列範圍而突然終止。無法輕易排除遠端程式碼執行。3.3、3.2、3.1 和 3.0 中的 FIPS 模組不受此問題影響。
    (CVE-2024-9143)

  - 問題摘要：ECDSA 簽章運算中存在可能允許復原私密金鑰的計時側通道弱點。影響摘要：ECDSA 簽章運算中的計時側通道弱點可能允許攻擊者復原私密金鑰。然而，測量計時可能需要本機存取簽署應用程式，或是極快且低延遲的網路連線。當反轉 ECDSA nonce 值的最頂端文字為零時，有一個約 300 奈秒的計時訊號。只有部分受支援的橢圓曲線會以大概率發生此情況。尤其會影響 NIST P-521 曲線。若要能夠測量此洩漏，攻擊者處理程序必須位於相同的實體電腦，或必須具有非常快且低延遲的網路連線。因此，此弱點的嚴重性為低危。3.4、3.3、3.2、3.1 和 3.0 中的 FIPS 模組不受此問題影響。(CVE-2024-13176)

  - Oracle MySQL 的 MySQL Connectors 產品中的弱點 (元件：Connector/J)。受影響的支援版本是 9.0.0-9.2.0。難以惡意利用的弱點允許具有網路存取權的低權限攻擊者透過多個通訊協定入侵 MySQL Connectors。若成功攻擊此弱點，則可接管 MySQL Connector。(CVE-2025-30706)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  Oracle MySQL 的 MySQL Connectors 产品中的漏洞（组件：Connector/J）。支持的版本中受影响的是 9.0.0-9.2.0。难以利用的漏洞允许低权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Connectors。成功利用此漏洞进行攻击可导致接管 MySQL Connector。(CVE-2025-30706)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Oracle MySQL 的 MySQL Connectors 產品中的弱點 (元件：Connector/J)。受影響的支援版本是 9.0.0-9.2.0。難以惡意利用的弱點允許具有網路存取權的低權限攻擊者透過多個通訊協定入侵 MySQL Connectors。若成功攻擊此弱點，則可接管 MySQL Connector。(CVE-2025-30706)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
234560	Oracle MySQL Connectors (April 2025 CPU)	Nessus	Misc.	2025/4/17	2025/4/17	high
260534	Linux Distros Unpatched Vulnerability : CVE-2025-30706	Nessus	Misc.	2025/9/2	2025/9/2	high
260534	Linux Distros のパッチ未適用の脆弱性: CVE-2025-30706	Nessus	Misc.	2025/9/2	2025/9/2	high
234560	Oracle MySQL コネクター (2025 年 4 月 CPU)	Nessus	Misc.	2025/4/17	2025/4/17	high
234560	Oracle MySQL Connectors（2025 年 4 月 CPU）	Nessus	Misc.	2025/4/17	2025/4/17	high
234560	Oracle MySQL Connectors (2025 年 4 月 CPU)	Nessus	Misc.	2025/4/17	2025/4/17	high
260534	Linux Distros 未修补的漏洞：CVE-2025-30706	Nessus	Misc.	2025/9/2	2025/9/2	high
260534	Linux Distros 未修補的弱點：CVE-2025-30706	Nessus	Misc.	2025/9/2	2025/9/2	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high