Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (26.01.2017):
Für Oracle VM 3.3 und Oracle VM 3.4 stehen Sicherheitsupdates für ‘mysql’
bereit, welche die Schwachstellen CVE-2016-6662 und CVE-2016-6663
adressieren.
Version 2 (25.01.2017):
Für Oracle Linux 6 (i386, x86_64) stehen Sicherheitsupdates für ‘mysql’
zur Verfügung.
Version 1 (24.01.2017):
Neues Advisory
Betroffene Software:
Oracle MySQL
Betroffene Plattformen:
Oracle Linux 6
Oracle VM Server 3.3
Oracle VM Server 3.4
Red Hat Enterprise Linux Desktop 6
Red Hat Enterprise Linux HPC Node 6
Red Hat Enterprise Linux Server 6
Red Hat Enterprise Linux Workstation 6
Mehrere Schwachstellen in Oracle MySQL ermöglichen auch einem entfernten,
einfach authentifizierten Angreifer das Ausführen beliebigen Programmcodes
mit administrativen Rechten und damit die komplette Übernahme des
betroffenen Systems.
Red Hat adressiert diese Schwachstellen für die Red Hat Enterprise Linux
Produkte Desktop, HPC Node, Server und Workstation in Version 6 durch die
Bereitstellung von Backport-Sicherheitsupdates.
Und auch für Oracle Linux 6 (i386, x86_64) stehen
Backport-Sicherheitsupdates für ‘mysql’ zur Verfügung.
Patch:
Red Hat Security Advisory RHSA-2017:0184
http://rhn.redhat.com/errata/RHSA-2017-0184.html
Patch:
Oracle Linux Security Advisory ELSA-2017-0184
https://linux.oracle.com/errata/ELSA-2017-0184.html
Patch:
Oracle VM Security Advisory OVMSA-2017-0035 (Oracle VM 3.3 mysql)
https://oss.oracle.com/pipermail/oraclevm-errata/2017-January/000625.html
Patch:
Oracle VM Security Advisory OVMSA-2017-0035 (Oracle VM 3.4 mysql)
https://oss.oracle.com/pipermail/oraclevm-errata/2017-January/000624.html
CVE-2016-6663: Schwachstelle in Oracle MySQL und MariaDB ermöglicht
Übernahme des Datenbankservers
Die Subkomponente Server: MyISAM des MySQL Servers von Oracle MySQL und
MariaDB enthält eine nicht näher spezifizierte, schwer auszunutzende
Schwachstelle. Ein lokaler, einfach authentifizierter Angreifer, der sich
auf der Infrastruktur, auf welcher der Datenbankserver läuft, einloggen
kann, kann diese Schwachstelle für eine komplette Übernahme des
Datenbankservers ausnutzen.
CVE-2016-5616: Schwachstelle in Oracle MySQL und MariaDB ermöglicht
Übernahme des MySQL Servers
Bei dieser Schwachstelle handelt es sich um ein Duplikat der Schwachstelle
CVE-2016-6663. Die Subkomponente Server: MyISAM des MySQL Servers von Oracle
MySQL und MariaDB enthält eine nicht näher spezifizierte, schwer
auszunutzende Schwachstelle. Ein lokaler, einfach authentifizierter
Angreifer, der sich auf der Infrastruktur, auf welcher der Datenbankserver
läuft, einloggen kann, kann diese Schwachstelle für eine komplette Übernahme
des Datenbankservers ausnutzen.
CVE-2016-6662: Schwachstelle in MySQL und MariaDB ermöglicht das Erlangen
von Administrationsrechten
In MySQL und MariaDB existiert eine Schwachstelle im Zusammenhang mit dem
Skript ‘mysqld_safe’, das zum Starten des Datenbankprozesses dient und mit
Administratorrechten ausgestattet ist. Die Schwachstelle basiert auf der
Möglichkeit eine Bibliothek zu laden bevor MySQL bzw. MariaDB gestartet
wird. Die zu ladende Bibliothek kann entweder als Option in der
Kommandozeile übergeben werden, in Form von ‘–malloc-lib=LIB’, oder aber in
der Konfigurationsdatei ‘my.cnf’ in einem der Abschnitte ‘[mysqld]’ oder
‘[mysqld_safe]’. Die Protokollierungsfunktionen von MySQL und MariaDB lassen
es dabei zu, dass beliebige Textfragmente in diese Konfigurationsdatei
geschrieben werden können. Die Bibliothek kann nach dem Laden beliebigen
schädlichen Programmcode mit Administratorrechten ausführen, wie z.B. eine
auch aus der Ferne nutzbare Kommandozeile bereitstellen (Remote Shell).
Dadurch ist die vollständige Übernahme des Systems möglich. Ein entfernter,
einfach authentisierter Angreifer kann beliebigen Programmcode mit den
Rechten eines Administrators ausführen.
In der Subkomponente Server: Logging ist diese Schwachstelle nur von einem
lokalen, höher privilegierten Angreifer ausnutzbar.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0138/
Schwachstelle CVE-2016-6662 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-6662
Schwachstelle CVE-2016-5616 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5616
Schwachstelle CVE-2016-6663 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-6663
Red Hat Security Advisory RHSA-2017:0184:
http://rhn.redhat.com/errata/RHSA-2017-0184.html
Oracle Linux Security Advisory ELSA-2017-0184:
https://linux.oracle.com/errata/ELSA-2017-0184.html
Oracle VM Security Advisory OVMSA-2017-0035 (Oracle VM 3.3 mysql):
https://oss.oracle.com/pipermail/oraclevm-errata/2017-January/000625.html
Oracle VM Security Advisory OVMSA-2017-0035 (Oracle VM 3.4 mysql):
https://oss.oracle.com/pipermail/oraclevm-errata/2017-January/000624.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
