Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「MySQL」のゼロデイ脆弱性、定例パッチで一部修正

オープンソースのデータベース「MySQL」に、未修正の脆弱性が指摘されていた問題で、Oracleは10月に公開した「クリティカルパッチアップデート(CPU)」で一部修正した。

今回修正された「CVE-2016-6662」は、アクセス権限を持つユーザーによって「MySQL」の設定ファイルを不正に作製することができる脆弱性。悪用するとサーバのルート権限でコードを実行することが可能となる。

同脆弱性は、「MySQL」の管理ツールである「phpMyAdmin」へアクセスできるユーザーや、ウェブアプリに対する「SQLインジェクション攻撃」などによっても悪用されるおそれがある。

脆弱性を発見したセキュリティ研究者のDawid Golunski氏は、7月下旬に開発者へ通知。「MySQL」から派生した「MariaDB」「PerconaDB」では修正されたものの、「MySQL」では修正されず、他製品が修正されたことで、悪用のリスクが高まったとして、同氏は9月に限定的なPoCを公開し、注意を呼びかけていた。

Oracleは、10月に公開した四半期に1度の定例CPUで、「CVE-2016-6662」のほか、リモートより攻撃が可能である2件の脆弱性「CVE-2016-6304」「CVE-2016-5598」を含む31件の脆弱性に対応した。

ただし、「CVE-2016-6662」とともにGolunski氏は、「CVE-2016-6663」を報告しているが、今回の修正には含まれていない。

(Security NEXT - 2016/10/19 ) このエントリーをはてなブックマークに追加

PR

関連記事

バッファロー製のネットワークカメラに6件の脆弱性 - アップデートがリリース
攻撃者視点で自動車の脆弱性を検査 - ネットエージェント
ベリサーブ、「IoTセキュリティリスク分析支援ソリューション」を提供
ウェブレッジ、IoTシステムに特化した脆弱性診断サービス
アズジェント、イスラエル製のIoT機器向け組込セキュリティソフトを取扱開始
日本年金機構が提供する複数プログラムのインストーラに脆弱性
アイ・オー製ネットワークカメラ2機種に複数の脆弱性
ソニーの業務用ネットワークカメラに脆弱性 - システム権限奪取されるおそれ
「kintone mobile for Android」に脆弱性 - 中間者攻撃受けるおそれ
「シンプル携帯チャット」にXSSの脆弱性 - 開発中止のため利用停止を