2023-1642: Oracle MySQL: Mehrere Schwachstellen ermöglichen u. a. die vollständige Übernahme der Software

Historie:

Version 1 (2023-07-19 16:06): Neues Advisory
Version 2 (2023-08-16 09:48): Canonical stellt für Ubuntu 23.04, Ubuntu 22.04 LTS und Ubuntu 20.04 LTS Sicherheitsupdates für 'mysql-8.0' bereit, um die betreffenden Schwachstellen zu beheben. MySQL wird hiermit auf Version 8.0.34 aktualisiert.
Version 3 (2023-09-08 11:11): Für Fedora 37 und 38 sowie für Fedora 37 und 38 Modular stehen Sicherheitsupdates in Form der Pakete 'community-mysql-8.0.34-2.fc37' und 'community-mysql-8.0.34-2.fc38' bzw. 'mysql-8.0-3820230907003352.75741a8b' und 'mysql-8.0-3720230907003352.9e842022' im Status 'testing' bereit, womit MySQL auf Version 8.0.34 aktualisiert wird.
Version 4 (2023-10-25 10:03): Canonical stellt korrespondierend zu USN-6288-1 für Ubuntu 16.04 LTS und Ubuntu 18.04 LTS Sicherheitsupdates für 'mysql-5.7' bereit, um die Schwachstelle CVE-2023-22053 zu adressieren.

Betroffene Software

Entwicklung
Server
Sicherheit

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein Angreifer, der in vielen Fällen über niedrige oder erweiterte Privilegien verfügen muss, kann mehrere Schwachstellen in verschiedenen Komponenten der Oracle Produkte MySQL Enterprise Monitor, MySQL Server, MySQL Workbench, MySQL Connectors und MySQL Cluster aus der Ferne ausnutzen, um die betreffende Software vollständig zu kompromittieren, Dateien zu manipulieren, Informationen auszuspähen sowie eine Pfadtraversierung und einen Denial-of-Service (DoS)-Angriff durchzuführen.

Oracle veröffentlicht anlässlich des Patchtages im Juli 2023 Sicherheitsupdates zur Behebung der Schwachstellen für die unterstützten Oracle Produkte MySQL Enterprise Monitor auf die Version 8.0.35, MySQL Server auf die Versionen 5.7.43 und 8.0.34, MySQL Workbench auf die Version 8.0.34, MySQL Connector/C++ auf die Version 8.1.0 und MySQL Cluster auf die Version 8.0.34.

Mit der Behebung der Schwachstelle CVE-2022-37865 werden außerdem die Schwachstelle CVE-2022-37866, mit Behebung der Schwachstelle CVE-2023-2650 die Schwachstellen CVE-2023-0464, CVE-2023-0465, CVE-2023-0466 und CVE-2023-1255 und mit Behebung der Schwachstelle CVE-2023-28484 die Schwachstelle CVE-2023-29469 adressiert.

Schwachstellen:

CVE-2022-37865

Schwachstelle in Apache Ivy ermöglicht Pfadtraversierung

CVE-2022-4899

Schwachstelle in Zstandard ermöglicht Denial-of-Service-Angriff

CVE-2023-0361

Schwachstelle in GnuTLS ermöglicht u. a. Ausspähen von Informationen