UPDATE: DFN-CERT-2016-1169 Oracle MySQL: Mehrere Schwachstellen ermöglichen u.a. die Übernahme des MySQL Servers [Linux][Debian][RedHat][Unix][Apple][Solaris][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 3 (11.08.2016):
Für die Red Hat Software Collections 1 für RHEL 6 / RHEL 7 stehen
Sicherheitsupdates in Form aktualisierter ‘rh-mysql56-mysql’-Pakete zur
Behebung der Schwachstellen CVE-2016-3459, CVE-2016-3477, CVE-2016-3486,
CVE-2016-3501, CVE-2016-3521, CVE-2016-3614, CVE-2016-3615, CVE-2016-5439
und CVE-2016-5440 zur Verfügung.
Version 2 (22.07.2016):
Debian stellt für die stabile Distribution Jessie (8.5) und Canonical für
die Distributionen Ubuntu 12.04 LTS und Ubuntu 14.04 LTS ein
Sicherheitsupdate auf die MySQL Version 5.5.50 zur Verfügung. Canonical
aktualisiert MySQL außerdem für Ubuntu 15.10 auf die Version 5.6.31 und
für Ubuntu 16.04 LTS auf die Version 5.7.13.
Version 1 (20.07.2016):
Neues Advisory

Betroffene Software:

Oracle MySQL <= 5.5.49 Oracle MySQL <= 5.6.30 Oracle MySQL <= 5.7.12 Betroffene Plattformen: Red Hat Software Collections 1 RHEL 6 Red Hat Software Collections 1 RHEL 7 Apple Mac OS X Canonical Ubuntu Linux 12.04 LTS Canonical Ubuntu Linux 14.04 LTS Canonical Ubuntu Linux 15.10 Canonical Ubuntu Linux 16.04 LTS Debian Linux 8.5 Jessie GNU/Linux Microsoft Windows Oracle Solaris In mehreren Subkomponenten der Komponente MySQL Server von Oracle MySQL sind verschiedene Schwachstellen vorhanden, die zumeist von einem entfernten, einfach authentifizierten Angreifer ausgenutzt werden können, um den MySQL Server zum Absturz zu bringen (Denial-of-Service, DoS). Eine weitere Schwachstelle erlaubt dem Angreifer die Manipulation von Dateien. Ein entfernter, nicht authentifizierter Angreifer kann mehrere Schwachstellen für Denial-of-Service-Angriffe und zum Ausspähen von Informationen ausnutzen. Eine schwerwiegende Schwachstelle ermöglicht einem lokalen, nicht authentifizierten Angreifer mit Zugriff auf das System den MySQL Server vollständig zu übernehmen (CVE-2016-3477). Eine weitere schwerwiegende Schwachstelle ermöglicht einem lokalen, einfach authentifizierten Angreifer mit erweiterten Privilegien ebenfalls, den MySQL Server vollständig zu übernehmen (CVE-2016-3471). Der Hersteller Oracle veröffentlicht Informationen zu diesen Schwachstellen und stellt Sicherheitsupdates zur Verfügung. Die Schwachstelle CVE-2016-2105 in OpenSSL betrifft den MySQL Server ebenfalls und wird zusammen mit der Schwachstelle CVE-2016-2106 (OIpenSSL, DoS) behoben. Patch: Oracle Critical Patch Update Advisory Juli 2016 - CPUJul2016 (Oracle MySQL) http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html#AppendixMSQL

Patch:

Debian Security Advisory DSA-3624-1

https://www.debian.org/security/2016/dsa-3624

Patch:

Ubuntu Security Notice USN-3040-1

http://www.ubuntu.com/usn/usn-3040-1/

Patch:

Red Hat Security Advisory RHSA-2016:1601

http://rhn.redhat.com/errata/RHSA-2016-1601.html

CVE-2016-5444: Schwachstelle in Oracle MySQL ermöglicht Ausspähen von
Informationen

Die Subkomponente Connection des MySQL Servers von Oracle MySQL enthält eine
nicht näher beschriebene, schwer auszunutzende Schwachstelle. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle über
das MySQL Protokoll dazu ausnutzen, einen Teil der dem MySQL Server
zugänglichen Daten auszulesen.

CVE-2016-5443: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente Connection des MySQL Servers von Oracle MySQL enthält eine
nicht näher beschriebene, schwer auszunutzende Schwachstelle. Ein lokaler,
einfach authentifizierter Angreifer kann diese Schwachstelle dazu ausnutzen
den Datenbankserver zum Absturz zu bringen (Denial-of-Service). Ferner ist
zur Ausnutzung der Schwachstelle die Interaktion einer weiteren Person
notwendig.

CVE-2016-5442: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente Security Encryption des MySQL Servers von Oracle MySQL
enthält eine nicht näher beschriebene, einfach auszunutzende Schwachstelle.
Ein entfernter, einfach gegenüber der Datenbank authentifizierter Angreifer
mit erweiterten Privilegien kann diese Schwachstelle über das MySQL
Protokoll dazu ausnutzen, den Datenbankserver zum Absturz zu bringen
(Denial-of-Service).

CVE-2016-5441: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente Replication des MySQL Servers von Oracle MySQL enthält
eine nicht näher beschriebene, einfach auszunutzende Schwachstelle. Ein
entfernter, einfach gegenüber der Datenbank authentifizierter Angreifer mit
erweiterten Privilegien kann diese Schwachstelle über das MySQL Protokoll
dazu ausnutzen, den Datenbankserver zum Absturz zu bringen
(Denial-of-Service).

CVE-2016-5440: Schwachstelle in Oracle MySQL / MariaDB ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente RBR des MySQL Servers von Oracle MySQL und MariaDB
enthalten eine nicht näher beschriebene, einfach auszunutzende
Schwachstelle. Ein entfernter, einfach gegenüber der Datenbank
authentifizierter Angreifer mit erweiterten Privilegien kann diese
Schwachstelle über das MySQL Protokoll dazu ausnutzen, den Datenbankserver
zum Absturz zu bringen (Denial-of-Service).

CVE-2016-5439: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente Privileges des MySQL Servers von Oracle MySQL enthält eine
nicht näher beschriebene, einfach auszunutzende Schwachstelle. Ein
entfernter, einfach gegenüber der Datenbank authentifizierter Angreifer mit
erweiterten Privilegien kann diese Schwachstelle über das MySQL Protokoll
dazu ausnutzen, den Datenbankserver zum Absturz zu bringen
(Denial-of-Service).

CVE-2016-5437: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente Log des MySQL Servers von Oracle MySQL enthält eine nicht
näher beschriebene, einfach auszunutzende Schwachstelle. Ein entfernter,
einfach gegenüber der Datenbank authentifizierter Angreifer mit erweiterten
Privilegien kann diese Schwachstelle über das MySQL Protokoll dazu
ausnutzen, den Datenbankserver zum Absturz zu bringen (Denial-of-Service).

CVE-2016-5436: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente InnoDB des MySQL Servers von Oracle MySQL enthält eine
nicht näher beschriebene, einfach auszunutzende Schwachstelle. Ein
entfernter, einfach gegenüber der Datenbank authentifizierter Angreifer mit
erweiterten Privilegien kann diese Schwachstelle über das MySQL Protokoll
dazu ausnutzen, den Datenbankserver zum Absturz zu bringen
(Denial-of-Service).

CVE-2016-3615: Schwachstelle in Oracle MySQL / MariaDB ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente DML des MySQL Servers von Oracle MySQL und MariaDB
enthalten eine nicht näher beschriebene, schwer auszunutzende Schwachstelle.
Ein entfernter, einfach gegenüber der Datenbank authentifizierter Angreifer
kann diese Schwachstelle über das MySQL Protokoll dazu ausnutzen, den
Datenbankserver zum Absturz zu bringen (Denial-of-Service).

CVE-2016-3614: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente Security Encryption des MySQL Servers von Oracle MySQL
enthält eine nicht näher beschriebene, schwer auszunutzende Schwachstelle.
Ein entfernter, einfach gegenüber der Datenbank authentifizierter Angreifer
kann diese Schwachstelle über das MySQL Protokoll dazu ausnutzen, den
Datenbankserver zum Absturz zu bringen (Denial-of-Service).

CVE-2016-3588: Schwachstelle in Oracle MySQL ermöglicht u.a. Manipulation
von Daten

Die Subkomponente InnoDB des MySQL Server von Oracle MySQL enthält eine
nicht näher spezifizierte, schwer auszunutzende Schwachstelle, die über das
MySQL Protokoll einen Angriff aus dem Netzwerk auf den MySQL Server
ermöglicht. Ein entfernter, einfach gegenüber der Datenbank
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um ein
Hängen des MySQL Servers auszulösen oder diesen wiederholt zum Absturz zu
bringen. Des Weiteren kann der Angreifer unerlaubt eine Teilmenge der dem
MySQL Server zugänglichen Daten ändern, löschen oder neue Daten hinzufügen.

CVE-2016-3521: Schwachstelle in Oracle MySQL / MariaDB ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente Types des MySQL Server von Oracle MySQL und MariaDB
enthalten eine nicht näher spezifizierte, einfach auszunutzende
Schwachstelle, die über das MySQL Protokol einen Angriff aus dem Netzwerk
auf den MySQL Server ermöglicht. Ein entfernter, einfach gegenüber der
Datenbank authentifizierter Angreifer mit Netzwerkzugriff kann diese
Schwachstelle ausnutzen, um ein Hängen des MySQL Servers auszulösen oder
diesen wiederholt zum Absturz zu bringen.

CVE-2016-3518: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente Optimizer des MySQL Server von Oracle MySQL enthält eine
nicht näher spezifizierte, einfach auszunutzende Schwachstelle, die über das
MySQL Protokoll einen Angriff aus dem Netzwerk auf den MySQL Server
ermöglicht. Ein entfernter, einfach gegenüber der Datenbank
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um ein
Hängen des MySQL Servers auszulösen oder diesen wiederholt zum Absturz zu
bringen.

CVE-2016-3501: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

CVE-2016-3486: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente FTS des MySQL Server von Oracle MySQL enthält eine nicht
näher spezifizierte, einfach auszunutzende Schwachstelle, die über das MySQL
Protokoll einen Angriff aus dem Netzwerk auf den MySQL Server ermöglicht.
Ein entfernter, einfach authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um ein Hängen des MySQL Servers auszulösen oder diesen wiederholt
zum Absturz zu bringen.

CVE-2016-3477: Schwachstelle in Oracle MySQL / MariaDB ermöglicht Erlangen
von Administratorrechten

Die Subkomponente Parser des MySQL Server von Oracle MySQL und MariaDB
enthalten eine nicht näher spezifizierte, schwer auszunutzende
Schwachstelle. Ein lokaler, nicht authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, um den MySQL Server vollständig zu übernehmen.
Obwohl die Schwachstelle nur den MySQL Server betrifft, können Angriffe auch
starke Auswirkungen auf weitere Oracle Produkte haben.

CVE-2016-3471: Schwachstelle in Oracle MySQL / MariaDB ermöglicht Erlangen
von Administratorrechten

Die Subkomponente Option des MySQL Server von Oracle MySQL enthält eine
nicht näher spezifizierte, schwer auszunutzende Schwachstelle. Ein lokaler,
einfach authentifizierter Angreifer mit erweiterten Privilegien kann diese
Schwachstelle ausnutzen, um den MySQL Server vollständig zu übernehmen.
Obwohl die Schwachstelle nur den MySQL Server betrifft, können Angriffe auch
starke Auswirkungen auf weitere Oracle Produkte haben.

CVE-2016-3459: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente InnoDB des MySQL Server von Oracle MySQL enthält eine
nicht näher spezifizierte, einfach auszunutzende Schwachstelle, die über
verschiedene Protokolle einen Angriff aus dem Netzwerk auf den MySQL Server
ermöglicht. Ein entfernter, einfach authentifizierter Angreifer mit
erweiterten Privilegien kann diese Schwachstelle ausnutzen, um ein Hängen
des MySQL Servers auszulösen oder diesen wiederholt zum Absturz zu bringen.

CVE-2016-3452: Schwachstelle in Oracle MySQL ermöglicht Ausspähen von
Informationen

Die Subkomponente Security Encryption des MySQL Server von Oracle MySQL
enthält eine nicht näher spezifizierte, schwer auszunutzende Schwachstelle,
die über verschiedene Protokolle einen Angriff aus dem Netzwerk auf den
MySQL Server ermöglicht. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle ausnutzen, um unerlaubt Lesezugriff auf eine
Teilmenge der dem MySQL Server zugänglichen Daten zu erlangen.

CVE-2016-3440: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriffe

Die Subkomponente Optimizer des MySQL Server von Oracle MySQL enthält eine
nicht näher spezifizierte, einfach auszunutzende Schwachstelle, die über das
MySQL Protokoll einen Angriff aus dem Netzwerk auf den MySQL Server
ermöglicht. Ein entfernter, einfach authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, um ein Hängen des MySQL Servers auszulösen oder
diesen wiederholt zum Absturz zu bringen.

CVE-2016-3424: Schwachstelle in Oracle MySQL ermöglicht
Denial-of-Service-Angriff

Die Subkomponente Optimizer des MySQL Server von Oracle MySQL enthält eine
nicht näher spezifizierte, einfach auszunutzende Schwachstelle, die über das
MySQL Protokoll einen Angriff aus dem Netzwerk auf den MySQL Server
ermöglicht. Ein entfernter, einfach authentifizierter Angreifer mit
erweiterten Privilegien kann diese Schwachstelle ausnutzen, um ein Hängen
des MySQL Servers auszulösen oder diesen wiederholt zum Absturz zu bringen.

CVE-2016-2105: Schwachstelle in OpenSSL ermöglicht
Denial-of-Service-Angriffe

In OpenSSL existiert eine Schwachstelle in der Funktion ‘EVP_EncodeUpdate’,
die für das Base64-Encoding von Binärdaten verwendet wird. Durch sehr große
Mengen von Eingabedaten kann es zu einem Überlauf bei der Längenprüfung und
dadurch zu einer Heap-Speicherkorruption kommen. Innerhalb von OpenSSL wird
diese Funktion primär durch die Familie der ‘PEM_write_bio*’-Funktionen
verwendet, die hauptsächlich in Kommandozeilenanwendungen zur Anwendung
kommt. In diesen Fällen sollten die vorhandenen Längenprüfungen für die
Aufrufe den Überlauf verhindern. Für Benutzeranwendungen, welche diese APIs
direkt mit einer großen Menge nicht vertrauenswürdiger Daten aufrufen, ist
OpenSSL dagegen verwundbar. Ein entfernter, nicht authentisierter Angreifer
kann diese Schwachstelle ausnutzen, um einen Denial-of-Service-Angriff
durchzuführen oder möglicherweise beliebigen Programmcode auszuführen.

Oracle nennt diese Schwachstelle in Zusammenhang mit einem eigenen Produkt,
der Oracle MySQL Komponente ‘MySQL Server’, und gibt an, dass bei diesem
eine hohe Verwundbarkeit gegenüber Denial-of-Service (DoS)-Angriffe besteht.
Das von Oracle zur Verfügung gestellte Sicherheitsupdate für diese
Schwachstelle schließt gleichzeitig die Schwachstelle CVE-2016-2106.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1169/

Schwachstelle CVE-2016-2105 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2105

Oracle Critical Patch Update Advisory Juli 2016 – CPUJul2016 (Oracle MySQL):
http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html#AppendixMSQL

Schwachstelle CVE-2016-3424 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3424

Schwachstelle CVE-2016-3440 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3440

Schwachstelle CVE-2016-3452 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3452

Schwachstelle CVE-2016-3459 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3459

Schwachstelle CVE-2016-3471 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3471

Schwachstelle CVE-2016-3477 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3477

Schwachstelle CVE-2016-3486 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3486

Schwachstelle CVE-2016-3501 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3501

Schwachstelle CVE-2016-3518 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3518

Schwachstelle CVE-2016-3521 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3521

Schwachstelle CVE-2016-3588 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3588

Schwachstelle CVE-2016-3614 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3614

Schwachstelle CVE-2016-3615 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3615

Schwachstelle CVE-2016-5436 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5436

Schwachstelle CVE-2016-5437 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5437

Schwachstelle CVE-2016-5439 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5439

Schwachstelle CVE-2016-5440 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5440

Schwachstelle CVE-2016-5441 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5441

Schwachstelle CVE-2016-5442 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5442

Schwachstelle CVE-2016-5443 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5443

Schwachstelle CVE-2016-5444 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5444

Debian Security Advisory DSA-3624-1:
https://www.debian.org/security/2016/dsa-3624

Ubuntu Security Notice USN-3040-1:
http://www.ubuntu.com/usn/usn-3040-1/

Red Hat Security Advisory RHSA-2016:1601:
http://rhn.redhat.com/errata/RHSA-2016-1601.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.