Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (29.01.2016):
Für die Distributionen Debian Linux Wheezy (oldstable) und Jessie (stable)
stehen Sicherheitsupdates auf die Version MySQL 5.5.47 zur Verfügung, die
die schwerwiegendsten Schwachstellen beheben. Die Schwachstellen des
Versionszweigs 5.7 werden mit diesen Sicherheitsupdates nicht adressiert.
Version 2 (26.01.2016):
Update: Canonical stellt für die Distributionen Ubuntu 15.10, Ubuntu
15.04, Ubuntu 14.04 LTS und Ubuntu 12.04 LTS Sicherheitsupdates auf die
Versionen MySQL 5.5.47, bzw. 5.6.28 bereit, die die schwerwiegendsten
Schwachstellen beheben. Die Schwachstellen des Versionszweigs 5.7 werden
mit diesen Sicherheitsupdates nicht adressiert.
Version 1 (20.01.2016):
Neues Advisory
Betroffene Software:
Oracle MySQL <= 5.5.46 Oracle MySQL <= 5.6.27 Oracle MySQL <= 5.7.9 Betroffene Plattformen: Apple Mac OS X Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 14.04 Lts Canonical Ubuntu Linux 15.04 Canonical Ubuntu Linux 15.10 Debian Linux 7.9 Wheezy Debian Linux 8.2 Jessie FreeBSD GNU/Linux Microsoft Windows Oracle Solaris In mehreren Subkomponenten der Komponente MySQL Server von Oracle MySQL sind verschiedene Schwachstellen vorhanden, die zumeist von einem entfernten, an der Datenbank angemeldeten Angreifer ausgenutzt werden können, um den MySQL Server zum Absturz zu bringen oder nicht mehr reagieren zu lassen, d.h. einen Denial-of-Service (DoS)-Angriff durchzuführen. Eine weitere Schwachstelle erlaubt dem Angreifer Sicherheitsvorkehrungen zu umgehen, eine andere einem entfernten, nicht authentisierten Angreifer das Ausspähen von Informationen. Die schwerwiegendste Schwachstelle ermöglicht einem lokalen, nicht authentisierten Angreifer das System komplett zu übernehmen und beliebigen Programmcode mit Administratorrechten auszuführen. Der Hersteller Oracle hat diese Schwachstellen am regulären Oktober Patchday veröffentlicht und stellt Sicherheitsupdates zur Verfügung. Patch: Oracle Critical Patch Update Advisory - Januar 2016 (CPUJan2016) http://www.oracle.com/technetwork/topics/security/cpujan2016-2367955.html
Patch:
Ubuntu Security Notice USN-2881-1
http://www.ubuntu.com/usn/usn-2881-1/
Patch:
Debian Security Advisory DSA-3459-1
https://www.debian.org/security/2016/dsa-3459
CVE-2016-0609: Schwachstelle im MySQL Server / MariaDB erlaubt
Denial-of-Service-Angriff
In der Security:Privileges Subkomponente des MySQL Servers und in MariaDB
befindet sich eine nicht näher beschriebene Schwachstelle. Ein entfernter,
mehrfach authentisierter Angreifer kann diese Schwachstelle dazu ausnutzen,
um den MySQL Server zum Absturz zu bringen oder nicht mehr reagieren zu
lassen (Denial of Service).
CVE-2016-0608: Schwachstelle im MySQL Server / MariaDB erlaubt
Denial-of-Service-Angriff
In der UDF Subkomponente des MySQL Servers und in MariaDB befindet sich eine
nicht näher beschriebene Schwachstelle. Ein entfernter, an der Datenbank
angemeldeter Angreifer kann diese Schwachstelle dazu ausnutzen, den MySQL
Server zum Absturz zu bringen oder nicht mehr reagieren zu lassen
(Denial-of-Service).
CVE-2016-0607: Schwachstelle im MySQL Server erlaubt
Denial-of-Service-Angriff
In der Replication Subomponente des MySQL Servers befindet sich eine nicht
näher beschriebene Schwachstelle. Ein entfernter, mehrfach authentisierter
Angreifer kann diese Schwachstelle dazu ausnutzen, den MySQL Server zum
Absturz zu bringen oder nicht mehr reagieren zu lassen (Denial-of-Service).
CVE-2016-0606: Schwachstelle im MySQL Server / MariaDB erlaubt Manipulation
von Daten
In der Security:Encryption Subkomponente des MySQL Servers und in MariaDB
befindet sich eine nicht näher beschriebene Schwachstelle. Ein entfernter,
an der Datenbank angemeldeter Angreifer kann diese Schwachstelle dazu
ausnutzen, einige der dem MySQL Server zugänglichen Daten zu ändern, neue
Daten einzufügen oder zu löschen.
CVE-2016-0605: Schwachstelle im MySQL Server erlaubt
Denial-of-Service-Angriff
Im MySQL Server befindet sich eine nicht näher beschriebene Schwachstelle.
Ein entfernter, an der Datenbank angemeldeter Angreifer kann diese
Schwachstelle dazu ausnutzen, um den MySQL Server zum Absturz zu bringen
oder nicht mehr reagieren zu lassen (Denial-of-Service).
CVE-2016-0601: Schwachstelle im MySQL Server erlaubt
Denial-of-Service-Angriff
In der Partition Subkomponente des MySQL Servers befindet sich eine nicht
näher beschriebene Schwachstelle. Ein entfernter, an der Datenbank
angemeldeter Angreifer kann diese Schwachstelle dazu ausnutzen, um den MySQL
Server zum Absturz zu bringen oder nicht mehr reagieren zu lassen
(Denial-of-Service).
CVE-2016-0600 CVE-2016-0610: Schwachstellen im MySQL Server erlauben
Denial-of-Service-Angriffe
In der InnoDB Subkomponente des MySQL Servers verschiedener Versionen
existieren zwei nicht näher beschriebene Schwachstellen. Ein entfernter, an
der Datenbank angemeldeter Angreifer kann diese Schwachstellen dazu
ausnutzen, einen Denial-of-Service-Angriff gegen den MySQL Server
auszuführen.
CVE-2016-0599: Schwachstelle im MySQL Server erlaubt
Denial-of-Service-Angriff
In der Optimizer Subkomponente des MySQL Servers befindet sich eine nicht
näher beschriebene Schwachstelle. Ein entfernter, an der Datenbank
angemeldeter Angreifer kann diese Schwachstelle dazu ausnutzen, den MySQL
Server zum Absturz zu bringen oder nicht mehr reagieren zu lassen
(Denial-of-Service).
CVE-2016-0598: Schwachstelle im MySQL Server / MariaDB erlaubt
Denial-of-Service-Angriff
In der DML Komponente des MySQL Servers und in MariaDB befindet sich eine
nicht näher beschriebene Schwachstelle. Ein entfernter, an der Datenbank
angemeldeter Angreifer kann diese Schwachstelle dazu ausnutzen, den MySQL
Server zum Absturz zu bringen oder nicht mehr reagieren zu lassen
(Denial-of-Service).
CVE-2016-0546: Schwachstelle im MySQL Server / MariaDB erlaubt Erlangen von
Administratorrechten
In der Client Subkomponente des MySQL Servers und in MariaDB existiert eine
nicht näher beschriebene Schwachstelle. Ein lokaler, am Betriebssystem
angemeldeter Angreifer kann diese Schwachstelle dazu ausnutzen, um
beliebigen Programmcode mit den Rechten des MySQL Benutzers auszuführen.
Läuft der MySQL Server unter Root bzw. mit Administrator-Rechten erlangt der
Angreifer die vollständige Kontrolle über das Betriebssystem.
CVE-2016-0505: Schwachstelle im MySQL Server / Maria DB erlaubt
Denial-of-Service-Angriff
In der Options Subkomponente des MySQL Servers und in MariaDB befindet sich
eine nicht näher beschriebene Schwachstelle. Ein entfernter, an der
Datenbank angemeldeter Angreifer kann diese Schwachstelle dazu ausnutzen, um
das Betriebssystem zum Absturz zu bringen oder nicht mehr reagieren zu
lassen (Denial-of-Service).
CVE-2016-0504: Schwachstelle im MySQL Server erlaubt
Denial-of-Service-Angriff
In der DML Subkomponente des MySQL Servers befindet sich eine nicht näher
beschriebene Schwachstelle. Ein entfernter, an der Datenbank angemeldeter
Angreifer kann diese Schwachstelle dazu ausnutzen, um das Betriebssystem zum
Absturz zu bringen oder nicht mehr reagieren zu lassen (Denial-of-Service).
CVE-2016-0503 CVE-2016-0594 CVE-2016-0595 CVE-2016-0596: Schwachstellen im
MySQL Server erlauben Denial-of-Service-Angriffe
In der DML Subkomponente des MySQL Servers verschiedener Versionen
existieren mehrere nicht näher beschriebene Schwachstellen. Ein entfernter,
an der Datenbank angemeldeter Angreifer kann diese Schwachstellen dazu
ausnutzen, um den MySQL Server zum Absturz zu bringen oder nicht mehr
reagieren zu lassen (Denial-of-Service).
CVE-2016-0502 CVE-2016-0597 CVE-2016-0611 CVE-2016-0616: Schwachstellen im
MySQL Server erlauben Denial-of-Service-Angriffe
In der Optimizer Subkomponente des MySQL Servers verschiedener Versionen
existieren mehrere nicht näher beschriebene Schwachstellen. Ein entfernter,
an der Datenbank angemeldeter Angreifer kann diese Schwachstellen dazu
ausnutzen, um den MySQL Server zum Absturz zu bringen oder nicht mehr
reagieren zu lassen (Denial-of-Service).
CVE-2015-7744: Schwachstelle im MySQL Server erlaubt Ausspähen von
Informationen
In der Security:Encryption Subkomponente des MySQL Servers befindet sich
eine nicht näher beschriebene Schwachstelle. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle dazu ausnutzen, um
einen Teil der dem MySQL Server zugänglichen Daten auszulesen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0104/
Oracle Critical Patch Update Advisory – Januar 2016 (CPUJan2016):
http://www.oracle.com/technetwork/topics/security/cpujan2016-2367955.html
Schwachstelle CVE-2015-7744 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7744
Schwachstelle CVE-2016-0502 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0502
Schwachstelle CVE-2016-0503 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0503
Schwachstelle CVE-2016-0504 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0504
Schwachstelle CVE-2016-0505 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0505
Schwachstelle CVE-2016-0546 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0546
Schwachstelle CVE-2016-0594 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0594
Schwachstelle CVE-2016-0595 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0595
Schwachstelle CVE-2016-0596 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0596
Schwachstelle CVE-2016-0597 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0597
Schwachstelle CVE-2016-0598 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0598
Schwachstelle CVE-2016-0599 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0599
Schwachstelle CVE-2016-0600 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0600
Schwachstelle CVE-2016-0601 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0601
Schwachstelle CVE-2016-0605 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0605
Schwachstelle CVE-2016-0606 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0606
Schwachstelle CVE-2016-0607 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0607
Schwachstelle CVE-2016-0608 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0608
Schwachstelle CVE-2016-0609 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0609
Schwachstelle CVE-2016-0610 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0610
Schwachstelle CVE-2016-0611 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0611
Schwachstelle CVE-2016-0616 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0616
Ubuntu Security Notice USN-2881-1:
http://www.ubuntu.com/usn/usn-2881-1/
Debian Security Advisory DSA-3459-1:
https://www.debian.org/security/2016/dsa-3459
MySQL 5.5.47 Release Notes (2015-12-07):
https://dev.mysql.com/doc/relnotes/mysql/5.5/en/news-5-5-47.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
