检测

Amazon Linux 2 : mariadb (ALAS-2019-1292)

medium Nessus 插件 ID 129071

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

Oracle MySQL 的 MySQL Server 组件中的漏洞（子组件：Server: Connection Handling）。支持的版本中受影响的是 5.6.42 和较早版本、5.7.24 和较早版本以及 8.0.13 和较早版本。难以利用的漏洞允许低权限攻击者访问硬件（MySQL Server 在该硬件上执行）上附加的物理通信段，从而破坏 MySQL Server。成功攻击此漏洞可导致在未经授权的情况下访问重要数据或完整访问所有可供访问的 MySQL Server 数据，并且未经授权即可造成 MySQL Server 挂起或频繁出现崩溃（完整 DOS）。CVSS 3.0 基本分数 6.4（机密性和可用性影响）。CVSS 向量：(CVSS:3.0/AV:A/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:H)。(CVE-2019-2503) Oracle MySQL 的 MySQL Server 组件中的漏洞（子组件：MyISAM）。支持的版本中受影响的是 5.5.60 和较早版本、5.6.40 和较早版本以及 5.7.22 和较早版本。可轻松利用的漏洞允许低权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 MySQL Server 可访问数据的访问权限。CVSS 3.0 基本分数 4.3（完整性影响）。CVSS 向量：(CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)。(CVE-2018-3058 ) Oracle MySQL 的 MySQL Server 组件中的漏洞（子组件：Server: Storage Engines）。支持的版本中受影响的是 5.5.61 和较早版本、5.6.41 和较早版本、5.7.23 和较早版本，以及 8.0.12 和较早版本。可轻松利用的漏洞允许高权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。成功攻击此漏洞可导致在未经授权的情况下使 MySQL Server 挂起或频繁出现崩溃（完整 DOS）。CVSS 3.0 基本分数 4.9（可用性影响）。CVSS 向量：(CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)。(CVE-2018-3282) Oracle MySQL 的 MySQL Server 组件中的漏洞（子组件：Server：Replication）。支持的版本中受影响的是 5.6.43 和较早版本、5.7.25 和较早版本以及 8.0.15 和较早版本。难以利用的漏洞允许高权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。成功攻击此漏洞可导致在未经授权的情况下使 MySQL Server 挂起或频繁出现崩溃（完整 DOS）。CVSS 3.0 基本分数 4.4（可用性影响）。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H)。(CVE-2019-2614) Oracle MySQL 的 MySQL Client 组件中的漏洞（子组件：Client programs）。支持的版本中受影响的是 5.5.60 和较早版本、5.6.40 和较早版本、5.7.22 和较早版本，以及 8.0.11 和较早版本。难以利用的漏洞允许高权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Client。成功攻击此漏洞可在未经授权的情况下导致 MySQL Client 挂起，或者频繁出现崩溃（完整 DOS），以及未经授权更新、插入或删除某些 MySQL Client 可访问数据的访问权限。CVSS 3.0 基本分数 5.0（完整性和可用性影响）。CVSS 向量： (CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:L/A:H)。(CVE-2018-3081) Oracle MySQL 的 MySQL Server 组件中的漏洞（子组件：Server : Security：Privileges）。支持的版本中受影响的是 5.5.60 和较早版本。可轻松利用的漏洞允许高权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。成功攻击此漏洞可导致在未经授权的情况下使 MySQL Server 挂起或频繁出现崩溃（完整 DOS）。CVSS 3.0 基本分数 4.9（可用性影响）。CVSS 向量：(CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)。(CVE-2018-3063) Oracle MySQL 的 MySQL Server 组件中的漏洞（子组件：Server：Optimizer）。支持的版本中受影响的是 5.6.42 和较早版本、5.7.24 和较早版本以及 8.0.13 和较早版本。可轻松利用的漏洞允许低权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。成功攻击此漏洞可导致在未经授权的情况下使 MySQL Server 挂起或频繁出现崩溃（完整 DOS）。CVSS 3.0 基本分数 6.5（可用性影响）。CVSS 向量：(CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)。(CVE-2019-2529) Oracle MySQL 的 MySQL Server 组件中的漏洞（子组件：Server：Security：Privileges）。支持的版本中受影响的是 5.6.43 和较早版本、5.7.25 和较早版本以及 8.0.15 和较早版本。可轻松利用的漏洞允许高权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。成功攻击此漏洞可导致在未经授权的情况下使 MySQL Server 挂起或频繁出现崩溃（完整 DOS）。CVSS 3.0 基本分数 4.9（可用性影响）。CVSS 向量：(CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)。(CVE-2019-2627) Oracle MySQL 的 MySQL Server 组件中的漏洞（子组件：Server：Options）。支持的版本中受影响的是 5.5.60 和较早版本、5.6.40 和较早版本以及 5.7.22 和较早版本。难以利用的漏洞允许高权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 MySQL Server 访问数据的访问权限，以及对 MySQL Server 子集的可访问数据进行未经授权的读取访问。CVSS 3.0 基本分数 3.3（机密性和完整性影响）。CVSS 向量：(CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:N)。(CVE-2018-3066)

解决方案

运行 “yum update mariadb” 以更新系统。

另见

https://alas.aws.amazon.com/AL2/ALAS-2019-1292.html

插件详情

严重性: Medium

ID: 129071

文件名: al2_ALAS-2019-1292.nasl

版本: 1.4

类型: local

代理: unix

发布时间: 2019/9/20

最近更新时间: 2024/4/24

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: Medium

基本分数: 4.9

时间分数: 3.6

矢量: CVSS2#AV:N/AC:M/Au:S/C:N/I:P/A:P

CVSS 分数来源: CVE-2018-3081

CVSS v3

风险因素: Medium

基本分数: 6.4

时间分数: 5.6

矢量: CVSS:3.0/AV:A/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

CVSS 分数来源: CVE-2019-2503

漏洞信息

CPE: p-cpe:/a:amazon:linux:mariadb, p-cpe:/a:amazon:linux:mariadb-bench, p-cpe:/a:amazon:linux:mariadb-debuginfo, p-cpe:/a:amazon:linux:mariadb-devel, p-cpe:/a:amazon:linux:mariadb-embedded, p-cpe:/a:amazon:linux:mariadb-embedded-devel, p-cpe:/a:amazon:linux:mariadb-libs, p-cpe:/a:amazon:linux:mariadb-server, p-cpe:/a:amazon:linux:mariadb-test, cpe:/o:amazon:linux:2

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

易利用性: No known exploits are available

补丁发布日期: 2019/9/13

漏洞发布日期: 2018/7/18

参考资料信息

CVE: CVE-2018-3058, CVE-2018-3063, CVE-2018-3066, CVE-2018-3081, CVE-2018-3282, CVE-2019-2503, CVE-2019-2529, CVE-2019-2614, CVE-2019-2627

ALAS: 2019-1292