Oracle Linux 5：mysql (ELSA-2013-0121)
high Nessus 插件 ID 68692
语言：
简介
远程 Oracle Linux 主机缺少一个或多个安全更新。描述
来自 Red Hat 安全公告 2013:0121：更新后的 mysql 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 5。
Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。
MySQL 是一款多用户、多线程 SQL 数据库服务器。它包含 MySQL 服务器后台程序 (mysqld) 以及许多客户端程序和库。
已发现，在 Red Hat Enterprise Linux 5 中的 mysql 程序包通过 RHSA-2012:0127 更新到 5.0.95 时，CVE-2009-4030 问题的补丁（即利用相对路径配置“datadir”选项时，MySQL 检查用作 DATA DIRECTORY 和 INDEX DIRECTORY 指令的参数的路径的方式中存在的缺陷）被错误地删除了。经认证的攻击者可利用此缺陷来绕过阻止使用用作 DATA DIRECTORY 和 INDEX DIRECTORY 路径的 MySQL 数据目录的子目录的限制。该更新再次应用了对 CVE-2009-4030 的修复。
(CVE-2012-4452)
注意：如果 DATA DIRECTORY 和 INDEX DIRECTORY 指令如 RHSA-2010:0109 所述被禁用（通过将“symbolic-links=0”添加至“my.cnf”配置文件的“[mysqld]”部分），则用户不受此问题影响。
该问题是由 Red Hat 质量工程团队的 Karel Volný发现的。
此更新还修复以下缺陷：
* 在此更新之前，logrotate 脚本中的日志文件路径没有正常运行。因此，logrotate 函数不能轮转“/var/log/mysqld.log”文件。该更新修改了 logrotate 脚本，允许轮转 mysqld.log 文件。
(BZ#647223)
* 在此更新之前，在预定义语句模式下使用 EXPLAIN 标记时，mysqld 后台程序可能会失败。该更新修改了底层代码，以便正常处理 EXPLAIN 标记。(BZ#654000)
* 在此更新之前，当 mysql 服务器实际上已启动时，mysqld init 脚本可错误地报告 mysql 服务器启动失败。
该更新修改了 init 脚本，以便正常报告 mysqld 服务器的状态。(BZ#703476)
* 在此更新之前，“--enable-profiling”选项默认禁用。该更新启用了分析功能。(BZ#806365)
建议所有 MySQL 用户升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。安装此更新后，MySQL 服务器后台程序 (mysqld) 将自动重新启动。
解决方案
更新受影响的 mysql 程序包。另见
插件详情
严重性: High
ID: 68692
文件名: oraclelinux_ELSA-2013-0121.nasl
版本: 1.10
类型: local
代理: unix
发布时间: 2013/7/12
最近更新时间: 2024/10/22
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.2
CVSS v2
风险因素: Low
基本分数: 2.1
时间分数: 1.6
矢量: CVSS2#AV:L/AC:L/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2012-4452
CVSS v3
风险因素: High
基本分数: 7.1
时间分数: 6.2
矢量: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:oracle:linux:mysql-devel, cpe:/o:oracle:linux:5, p-cpe:/a:oracle:linux:mysql-bench, p-cpe:/a:oracle:linux:mysql-test, p-cpe:/a:oracle:linux:mysql-server, p-cpe:/a:oracle:linux:mysql
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
易利用性: No known exploits are available
补丁发布日期: 2013/1/12
漏洞发布日期: 2012/10/9
参考资料信息
CVE: CVE-2012-4452
RHSA: 2013:0121