2016-0644: Oracle MySQL: Mehrere Schwachstellen ermöglichen u.a. die Übernahme des Systems

Historie:

Version 1 (2016-04-20 16:33): Neues Advisory
Version 2 (2016-04-22 12:57): Canonical stellt für die Distributionen Ubuntu 12.04 LTS und 14.04 LTS Sicherheitsupdates für MySQL auf Version 5.5.49 sowie für Ubuntu 15.10 auf Version 5.6.30 bereit, die die schwerwiegendsten Schwachstellen in den entsprechenden Versionszweigen beheben.
Version 3 (2016-04-25 12:05): Für die Distributionen Fedora 22 und Fedora 23 stehen Sicherheitsupdates auf die MySQL Version 5.6.30 in Form der Pakete community-mysql-5.6.30-1.fc22 und community-mysql-5.6.30-1.fc23 im Status 'testing' zur Verfügung.
Version 4 (2016-04-25 19:05): Canonical stellt für Ubuntu 16.04 LTS ein Sicherheitsupdate auf die MySQL Version 5.7.12 bereit.
Version 5 (2016-04-27 12:19): Debian stellt für die stabile Linux-Distribution Jessie ein Sicherheitsupdate auf die MySQL Version 5.5.49 bereit.
Version 6 (2016-05-12 15:30): Für SUSE Linux Enterprise Software Development Kit 11-SP4 und SUSE Linux Enterprise Server 11-SP4 stehen Sicherheitsupdates für MySQL auf die Version 5.5.49 bereit, welche die damit verbundenen Schwachstellen beheben.
Version 7 (2016-05-26 12:16): Für die Distribution Fedora 24 steht ein Sicherheitsupdate auf die MySQL Version 5.7.12 in Form des Paketes community-mysql-5.7.12-1.fc24 im Status 'testing' zur Verfügung.

Betroffene Software

Server
Sicherheit

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

In mehreren Subkomponenten der Komponente MySQL Server und MySQL Enterprise Monitor von Oracle MySQL sind verschiedene Schwachstellen vorhanden, die zumeist von einem entfernten, an der Datenbank angemeldeten Angreifer ausgenutzt werden können, um den MySQL Server zum Absturz zu bringen oder nicht mehr reagieren zu lassen, d.h. Denial-of-Service-Angriffe durchzuführen. Weitere Schwachstellen erlauben dem Angreifer Sicherheitsvorkehrungen zu umgehen oder Informationen auszuspähen. Eine schwerwiegende Schwachstelle ermöglicht einem entfernten, nicht authentifizierten Angreifer das System komplett zu übernehmen und beliebigen Programmcode mit Administratorrechten auszuführen.

Der Hersteller Oracle hat am regulären April Patchday Informationen zu diesen Schwachstellen veröffentlicht und stellt Sicherheitsupdates zur Verfügung.

Schwachstellen:

CVE-2015-3194

Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff

CVE-2015-3195

Schwachstelle in OpenSSL ermöglicht Ausspähen von Informationen

CVE-2015-3197

Schwachstelle in OpenSSL ermöglicht das Umgehen von Sicherheitsmaßnahmen

CVE-2016-0639

Schwachstelle in Oracle MySQL ermöglicht Erlangen von Administratorrechten