Amazon Linux AMI：mysql56 (ALAS-2016-701)

critical Nessus 插件 ID 91239

语言：

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

OpenSSL 解析某些畸形 DSA（数字签名算法）私钥的方式中，发现一个双重释放缺陷。攻击者可创建特别构建的 DSA 私钥，在对于 OpenSSL 编译的应用程序处理该私钥时，可造成应用程序崩溃。(CVE-2016-0705)

在 Oracle MySQL 5.6.29 和更早版本的 sql-common/client.c 中，ssl_verify_server_cert 函数未正确验证服务器主机名是否与使用者公用名 (CN) 中的域名或 X.509 证书的 subjectAltName 字段相匹配，这会允许中间人攻击者通过证书内字段中的“/CN=”字符串欺骗 SSL 服务器，这一点已由“/OU=/CN=bar.com/CN=foo.com”证实。(CVE-2016-2047)

在 Oracle MySQL 5.6.29 和更早版本中，有一个不明漏洞允许远程攻击者通过与可插拔认证相关的矢量，影响机密性、完整性和可用性。
(CVE-2016-0639)

在 Oracle MySQL 5.6.29 和更早版本中，有一个不明漏洞允许本地用户通过与 FTS 相关的矢量影响可用性。
(CVE-2016-0647)

在 5.6.29 和更早版本的 Oracle MySQL 中存在一个不明漏洞，允许本地用户通过与 Federated 有关的矢量，影响完整性和可用性。(CVE-2016-0642)

在 5.6.29 和更早版本的 Oracle MySQL 中存在一个不明漏洞，允许本地用户通过与 DML 有关的矢量，影响机密性。
(CVE-2016-0643)

在 5.6.29 和更早版本的 Oracle MySQL 中存在一个不明漏洞，允许本地用户通过与 Security: Privileges 有关的矢量，影响
可用性。(CVE-2016-0666)

在 Oracle MySQL 5.6.29 和更早版本中，有一个不明漏洞允许本地用户通过与 PS 相关的矢量影响可用性。
(CVE-2016-0648)

在 Oracle MySQL 5.6.29 和更早版本中，有一个不明漏洞允许本地用户通过与 InnoDB 相关的矢量影响可用性。
(CVE-2016-0655)

解决方案

请运行“yum update mysql56”更新系统。

另见

https://alas.aws.amazon.com/ALAS-2016-701.html

插件详情

严重性: Critical

ID: 91239

文件名: ala_ALAS-2016-701.nasl

版本: 2.3

类型: local

代理: unix

系列: Amazon Linux Local Security Checks

发布时间: 2016/5/19

最近更新时间: 2018/4/18

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: Critical

基本分数: 10

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS v3

风险因素: Critical

基本分数: 9.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

漏洞信息

CPE: p-cpe:/a:amazon:linux:mysql56, p-cpe:/a:amazon:linux:mysql56-bench, p-cpe:/a:amazon:linux:mysql56-common, p-cpe:/a:amazon:linux:mysql56-debuginfo, p-cpe:/a:amazon:linux:mysql56-devel, p-cpe:/a:amazon:linux:mysql56-embedded, p-cpe:/a:amazon:linux:mysql56-embedded-devel, p-cpe:/a:amazon:linux:mysql56-errmsg, p-cpe:/a:amazon:linux:mysql56-libs, p-cpe:/a:amazon:linux:mysql56-server, p-cpe:/a:amazon:linux:mysql56-test, cpe:/o:amazon:linux

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

补丁发布日期: 2016/5/18

参考资料信息

CVE: CVE-2016-0639, CVE-2016-0642, CVE-2016-0643, CVE-2016-0647, CVE-2016-0648, CVE-2016-0655, CVE-2016-0666, CVE-2016-0705, CVE-2016-2047

ALAS: 2016-701