2018-0723: Oracle MySQL: Mehrere Schwachstellen ermöglichen u.a. die komplette Übernahme von MySQL Server

Historie:

Version 1 (2018-04-18 18:55): Neues Advisory
Version 2 (2018-04-20 17:17): Debian stellt für die Distribution Jessie (oldstable) ein Sicherheitsupdate für 'mysql-5.5' auf Version 5.5.60 zur Verfügung. Für Fedora 26 und 27 stehen Sicherheitsupdates im Status 'pending' bereit, mit denen der MySQL Community Server auf Version 5.7.22 aktualisiert wird.
Version 3 (2018-04-24 12:04): Canonical stellt aktualisierte Pakete für MySQL-Server in Ubuntu 14.04 LTS (Update auf Version 5.5.60) sowie Ubuntu 16.04 LTS und 17.10 (Update auf Version 5.7.22) bereit, mit denen die Schwachstellen behoben werden.
Version 4 (2018-04-25 17:22): Canonical stellt die entsprechend aktualisierten Pakete für MySQL-Server in Ubuntu 12.04 ESM (Update auf Version 5.5.60) bereit, mit denen die Schwachstellen behoben werden.
Version 5 (2018-04-26 13:36): Für Red Hat Software Collections (for RHEL Server) 1 für Red Hat Enterprise Linux (RHEL) 6, 6.7, 7, 7.3, 7.4 und 7.5 sowie für Red Hat Software Collections (for RHEL Workstation) 1 für RHEL 6 und 7 stehen Sicherheitsupdates für 'rh-mysql56-mysql' auf die MySQL Version 5.6.40 zur Verfügung, um die in diesem Versionszweig enthaltenen Schwachstellen zu adressieren.
Version 6 (2018-04-30 12:53): Für openSUSE Leap 42.3 stehen Sicherheitsupdates für das Paket 'mysql-community-server' zur Aktualisierung auf Version 5.6.40 bereit.
Version 7 (2018-05-02 12:00): Canonical stellt aktualisierte Pakete für MySQL-Server auf Version 5.7.22 für Ubuntu 18.04 LTS als Sicherheitsupdate zur Verfügung.
Version 8 (2018-05-18 16:44): SUSE stellt für die SUSE Linux Enterprise Produkte SDK, Server und Debuginfo in Version 11 SP4 ein Sicherheitsupdate von 'mysql' auf Version 5.5.60 bereit.

Betroffene Software

Server
Sicherheit

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

In den Komponenten MySQL Server, MySQL Enterprise Monitor und MySQL Cluster von Oracle MySQL existieren verschiedene Schwachstellen, die von einem zumeist entfernten, einfach authentisierten Angreifer ausgenutzt werden können, um den MySQL Server, MySQL Cluster und MySQL Enterprise Monitor zum Absturz zu bringen (Denial-of-Service, DoS), Daten zu manipulieren, Informationen auszuspähen sowie die Anwendung MySQL Server komplett zu übernehmen.

Der Hersteller Oracle veröffentlicht Informationen zu diesen Schwachstellen und stellt zur Behebung der Schwachstellen Oracle MySQL Server in den Versionen 5.5.60, 5.6.40 und 5.7.22 als Sicherheitsupdates in Aussicht. Die Schwachstellen CVE-2017-3737, CVE-2018-2877 und CVE-2016-9878 beziehen sich auf die Oracle Produkte MySQL Cluster und MySQL Enterprise Monitor, welche zum Teil in Oracle MySQL Server enthalten sind, und betreffen unterschiedliche Versionszweige der betroffenen Komponenten. Die aktuellen Versionen von MySQL Cluster sind 7.3.20, 7.4.19 und 7.5.9 und die aktuellen Versionen von MySQL Enterprise Monitor sind 3.3.8, 3.4.6 und 4.0.3.

Neben den Schwachstellen in der Software selbst werden auch mehrere Schwachstellen in den verwendeten Produkten Spring Framework und OpenSSL (MySQL Enterprise Monitor) behoben, welche einem entfernten, nicht authentisierten Angreifer das Ausspähen von Informationen ermöglichen.

Schwachstellen:

CVE-2016-9878

Schwachstelle in Spring Framework ermöglicht Directory-Traversal-Angriff

CVE-2017-3737

Schwachstelle in OpenSSL ermöglicht Ausspähen von Informationen

CVE-2017-3738

Schwachstelle in OpenSSL ermöglicht Ausspähen von Informationen

CVE-2018-2755

Schwachstelle in Oracle MySQL Server / MariaDB ermöglicht Übernahme der Komponente