Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「MySQL」のゼロデイ脆弱性、定例パッチで一部修正

オープンソースのデータベース「MySQL」に、未修正の脆弱性が指摘されていた問題で、Oracleは10月に公開した「クリティカルパッチアップデート(CPU)」で一部修正した。

今回修正された「CVE-2016-6662」は、アクセス権限を持つユーザーによって「MySQL」の設定ファイルを不正に作製することができる脆弱性。悪用するとサーバのルート権限でコードを実行することが可能となる。

同脆弱性は、「MySQL」の管理ツールである「phpMyAdmin」へアクセスできるユーザーや、ウェブアプリに対する「SQLインジェクション攻撃」などによっても悪用されるおそれがある。

脆弱性を発見したセキュリティ研究者のDawid Golunski氏は、7月下旬に開発者へ通知。「MySQL」から派生した「MariaDB」「PerconaDB」では修正されたものの、「MySQL」では修正されず、他製品が修正されたことで、悪用のリスクが高まったとして、同氏は9月に限定的なPoCを公開し、注意を呼びかけていた。

Oracleは、10月に公開した四半期に1度の定例CPUで、「CVE-2016-6662」のほか、リモートより攻撃が可能である2件の脆弱性「CVE-2016-6304」「CVE-2016-5598」を含む31件の脆弱性に対応した。

ただし、「CVE-2016-6662」とともにGolunski氏は、「CVE-2016-6663」を報告しているが、今回の修正には含まれていない。

(Security NEXT - 2016/10/19 ) このエントリーをはてなブックマークに追加

PR

関連記事

OSSアーカイバライブラリで作製した自己解凍ファイルに脆弱性 - 修正版で再作成を
脆弱性学習ツール「AppGoat」が再度アップデート - 一部修正が不十分で
WordPressに対する改ざん攻撃、「コード実行」狙いも
延期となった2月の修正、翌3月の月例更新で対応予定 - MS
OpenSSLにセキュリティアップデート - 重要度「高」の脆弱性を修正
Adobeのマーケティングツールに2件の脆弱性 - アップデートがリリース
「Apache Brooklyn」に2件の脆弱性 - 修正版が公開
Apple、脆弱性を解消した「GarageBand 10.1.6」をリリース
Norton導入時に利用するダウンロードマネージャーに脆弱性
Adobe、電子書籍ビューワのアップデートを公開 - 脆弱性9件を修正