检测

MySQL Enterprise Monitor 4.x < 4.0.9 / 8.x < 8.0.16 Padding Oracle（2019 年 4 月 CPU）

medium Nessus 插件 ID 138903

语言：

简介

MySQL Enterprise Monitor running on the remote host is affected by an information disclosure vulnerability

描述

远程主机检测到的 MySQL Enterprise Monitor 版本中所使用的 OpenSSL 版本受到漏洞的影响。如果应用程序遇到严重的协议错误并调用 SSL_shutdown() 两次（这两次分别是要发送和接收 close_notify），随后 OpenSSL 可比较接收到的 0 字节记录是含有无效填充，或是含有无效 MAC 地址，从而对调用应用程序给予不同的响应。如果应用程序因此而出现不同的行为，且该行为可由远程对等端检测到，那么会发展成可用来解密数据的 padding oracle。一定要使用“非拼接式”(non-stitched) 密码套件，此漏洞才能被恶意利用。拼接式密码套件是若干常用密码套件的最佳实现。此外，即便在发生协议错误的情况下，应用程序也必须调用 SSL_shutdown() 两次（应用程序不应该这么做，但有些还是会如此）。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

解决方案

Upgrade to MySQL Enterprise Monitor version 4.0.9, 8.0.16 or later as referenced in the Oracle security advisory.

另见

https://www.oracle.com/security-alerts/cpuapr2019.html#AppendixMSQL

插件详情

严重性: Medium

ID: 138903

文件名: mysql_enterprise_monitor_8_0_16.nasl

版本: 1.3

类型: remote

系列: CGI abuses

发布时间: 2020/7/24

最近更新时间: 2022/12/5

支持的传感器: Nessus

风险信息

VPR

风险因素: Medium

分数: 4.4

CVSS v2

风险因素: Medium

基本分数: 4.3

时间分数: 3.2

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N

CVSS 分数来源: CVE-2019-1559

CVSS v3

风险因素: Medium

基本分数: 5.9

时间分数: 5.2

矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:oracle:mysql_enterprise_monitor

必需的 KB 项: installed_sw/MySQL Enterprise Monitor

易利用性: No known exploits are available

补丁发布日期: 2019/4/16

漏洞发布日期: 2019/2/27

参考资料信息

CVE: CVE-2019-1559