Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 8 (27.11.18):
Für Red Hat Software Collections steht ein Sicherheitsupdate für ‘rh-
mysql57-mysql’ bereit, mit dem die Software auf Version 5.7.24
aktualisiert wird und die entsprechenden Schwachstellen behoben werden.
Das Update steht unter anderem für Red Hat Enterprise Linux (RHEL) Server
6, 6.7, 7, 7.3, 7.4, 7.5 und 7.6, für RHEL Server for ARM sowie für RHEL
Workstation 6 und 7 zur Verfügung.
Version 7 (16.11.18):
Für Fedora 27 und 28 stehen Sicherheitsupdates für ‘community-mysql’ im
Status ‘testing’ bereit. Die Software wird damit auf Version 5.7.24
aktualisiert und die entsprechenden Schwachstellen werden behoben.
Version 6 (06.11.18):
Debian veröffentlicht für Jessie (LTS) ein Sicherheitsupdate auf die MySQL
Version 5.5.62. Mit diesem Sicherheitsupdate werden drei der hier
referenzierten Schwachstellen und mehrere bereits mit der vorhergehenden
Version behobenen Schwachstellen adressiert. Für die vorhergehende MySQL
Version wurde für Debian LTS kein Patch bereitgestellt.
Version 5 (01.11.18):
Für Fedora 29 steht ein Sicherheitsupdate in Form des Paketes ‘community-
mysql-8.0.13-1.fc29’ im Status ‘testing’ bereit.
Version 4 (29.10.18):
Für Ubuntu 12.04 ESM steht ein Sicherheitsupdate für ‘mysql-5.5’ auf
Version 5.5.62 bereit. Für SUSE Linux Enterprise Software Development Kit,
Server und Debuginfo 11 SP4 sowie Server 11 SP3 LTSS und Debuginfo 11 SP3
stehen ebenfalls Sicherheitsupdates für ‘mysql’ auf Version 5.5.62 bereit.
Version 3 (26.10.18):
openSUSE stellt für openSUSE Leap 42.3 ein Sicherheitsupdate auf die MySQL
Community Server Version 5.6.42 zur Verfügung.
Version 2 (24.10.18):
Canonical veröffentlicht für die Distribution Ubuntu 14.04 LTS ein
Sicherheitsupdate auf die MySQL Version 5.5.62 und stellt für Ubuntu 16.04
LTS, Ubuntu 18.04 LTS und Ubuntu 18.10 Sicherheitsupdates auf die Version
MySQL 5.7.24 zur Verfügung. Canonical weist darauf hin, dass mit dem
Sicherheitsupdate weitere Funktionsänderungen einhergehen, die
möglicherweise mit aktuellen Nutzungsszenarien inkompatibel sind.
Version 1 (17.10.18):
Neues Advisory
In den Komponenten MySQL Server, MySQL Enterprise Monitor und MySQL
Connectors von Oracle MySQL existieren verschiedene Schwachstellen, die von
einem zumeist entfernten, einfach authentifizierten Angreifer ausgenutzt
werden können, um den MySQL Server, MySQL Connectors und MySQL Enterprise
Monitor zum Absturz zu bringen (Denial-of-Service, DoS), Daten zu
manipulieren, Informationen auszuspähen sowie die Anwendung MySQL Server
komplett zu übernehmen. Die Schwachstelle CVE-2018-3258 betrifft nur die
Komponente MySQL Connectors und ermöglicht einem entfernten, einfach
authentifizierten Angreifer die Übernahme der Komponente. Die Schwachstellen
CVE-2018-11776, CVE-2018-8014 und CVE-2018-1258 betreffen die Komponente
MySQL Enterprise Monitor und ermöglichen einem entfernten, nicht
authentifizierten Angreifer ebenfalls die Übernahme der Komponente.
Der Hersteller Oracle veröffentlicht Informationen zu diesen Schwachstellen
und stellt zur Behebung Oracle MySQL Server in den Versionen 5.5.62, 5.6.42,
5.7.24 und 8.0.13 als Sicherheitsupdates in Aussicht. Für die Komponente
MySQL Connector stellt Oracle das Release 8.0.13 in Aussicht.
Weiterhin informiert Oracle darüber, dass das Sicherheitsupdate für
CVE-2016-9840 auch die Schwachstellen CVE-2016-9840, CVE-2016-9841 und
CVE-2016-9842, das Sicherheitsupdate für CVE-2018-11039 auch die
Schwachstellen CVE-2018-11039, CVE-2018-11040 und CVE-2018-1257 und das
Sicherheitsupdate für CVE-2018-1304 auch die Schwachstellen CVE-2018-1305,
CVE-2018-8034 und CVE-2018-8037 adressieren.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2018-2110]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
