Debian DLA-1079-1：libdbd-mysql-perl 安全更新

critical Nessus 插件 ID 102887

语言：

简介

远程 Debian 主机缺少安全更新。

描述

“mysql”命令行客户端中使用的用于与 MySQL 数据库通信的 Perl 库在 SSL 配置中容易受到中间人攻击，在连接到恶意服务器时可能发生远程崩溃。CVE-2017-10788 Perl 的 DBD::mysql 模块 4.042 及之前版本允许远程攻击者通过触发 (1) 来自 MySQL 服务器的某些错误响应或 (2) 与 MySQL 服务器的网络连接丢失，造成拒绝服务（释放后使用和应用程序崩溃），或可能造成其他不明影响。此释放后使用缺陷是因依靠错误的 Oracle mysql_stmt_close 文档和代码示例而引入。CVE-2017-10789 Perl 的 DBD::mysql 模块 4.042 及之前版本使用 mysql_ssl=1 设置表示该 SSL 为可选（即使此设置的文档中含有语句“您与服务器的通信将被加密”），从而允许中间人攻击者通过明文降级攻击来伪造服务器，此问题与 CVE-2015-3152 有关。对于 Debian 7“Wheezy”，这些问题已在 4.021-1+deb7u3 版本中修复。建议您升级 libdbd-mysql-perl 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。