こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

4月17日に月例のOracle の脆弱性が公開されました。今回はこの中のMySQLの脆弱性 (CVE-2018-2755 , CVE-2018-2805 , CVE-2018-2782 , CVE-2018-2784 , CVE-2018-2819 , CVE-2018-2758 , CVE-2018-2817 , CVE-2018-2775 , CVE-2018-2780 , CVE-2017-3737 , CVE-2018-2761 , CVE-2018-2786 , CVE-2018-2787 , CVE-2018-2812 , CVE-2018-2877 , CVE-2018-2759 , CVE-2018-2766 , CVE-2018-2777 , CVE-2018-2810 , CVE-2018-2818 , CVE-2018-2839 , CVE-2018-2778 , CVE-2018-2779 , CVE-2018-2781 , CVE-2018-2816 , CVE-2018-2846 , CVE-2018-2769 , CVE-2018-2776 , CVE-2018-2762 , CVE-2018-2771 , CVE-2018-2813 , CVE-2018-2773 , CVE-2016-9878 )についてまとめてみます。

• CVE-2018-2755

• 影響するバージョン：5.5.59 and prior, 5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: Server: Replication

• CVSS 3.0 Base Score 7.7

• CVSS Vector: (CVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H)

• Replicationの非開示の脆弱性

• CVE-2018-2805

• 影響するバージョン：5.6.39 and prior

• サブコンポーネント: GIS Extension

• CVSS 3.0 Base Score 6.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

• GIS Extensionの非開示の脆弱性

• CVE-2018-2782

• 影響するバージョン：5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: InnoDB

• CVSS 3.0 Base Score 6.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

• InnoDBの非開示の脆弱性

• CVE-2018-2784

• 影響するバージョン：5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: InnoDB

• CVSS 3.0 Base Score 6.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

• InnoDBの非開示の脆弱性

• CVE-2018-2819

• 影響するバージョン：5.5.59 and prior, 5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: InnoDB

• CVSS 3.0 Base Score 6.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

• InnoDBの非開示の脆弱性

• CVE-2018-2758

• 影響するバージョン：5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: Server : Security : Privileges

• CVSS 3.0 Base Score 6.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

• Security特権の非開示の脆弱性

• CVE-2018-2817

• 影響するバージョン：5.5.59 and prior, 5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: Server: DDL

• CVSS 3.0 Base Score 6.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

• DDLの非開示の脆弱性

• CVE-2018-2775

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: Optimizer

• CVSS 3.0 Base Score 6.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

• Optimizerの非開示の脆弱性

• CVE-2018-2780

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: Optimizer

• CVSS 3.0 Base Score 6.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

• Optimizerの非開示の脆弱性

• CVE-2017-3737

• 影響するバージョン：3.3.7.3306 and prior, 3.4.5.4248 and prior, 4.0.2.5168 and prior

• サブコンポーネント: Monitoring: Agent (OpenSSL)

• CVSS 3.0 Base Score 5.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N)

• OpenSSLの脆弱性になります。

• CVE-2018-2761

• 影響するバージョン：5.5.59 and prior, 5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: Client programs

• CVSS 3.0 Base Score 5.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H)

• Clientプログラムの非開示の脆弱性

• CVE-2018-2786

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: InnoDB

• CVSS 3.0 Base Score 5.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H)

• InnoDBの非開示の脆弱性

• CVE-2018-2787

• 影響するバージョン：5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: InnoDB

• CVSS 3.0 Base Score 5.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H)

• InnoDBの非開示の脆弱性

• CVE-2018-2812

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: Optimizer

• CVSS 3.0 Base Score 5.5

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H)

• Optimizerの非開示の脆弱性

• CVE-2018-2877

• 影響するバージョン：7.2.27 and prior, 7.3.16 and prior, 7.4.14 and prior, 7.5.5 and prior

• サブコンポーネント: Cluster: ndbcluster/plugin

• CVSS 3.0 Base Score 5.0

• CVSS Vector: (CVSS:3.0/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H)

• N/A

• CVE-2018-2759

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: InnoDB

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• InnoDBの非開示の脆弱性

• CVE-2018-2766

• 影響するバージョン：5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: InnoDB

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• InnoDBの非開示の脆弱性

• CVE-2018-2777

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: InnoDB

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• InnoDBの非開示の脆弱性

• CVE-2018-2810

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: InnoDB

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• InnoDBの非開示の脆弱性

• CVE-2018-2818

• 影響するバージョン：5.5.59 and prior, 5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: Server : Security : Privileges

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Security:特権の非開示の脆弱性

• CVE-2018-2839

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: DML

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• DMLの非開示の脆弱性

• CVE-2018-2778

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: Optimizer

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Optimizerの非開示の脆弱性

• CVE-2018-2779

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: Optimizer

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Optimizerの非開示の脆弱性

• CVE-2018-2781

• 影響するバージョン：5.5.59 and prior, 5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: Server: Optimizer

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Optimizerの非開示の脆弱性

• CVE-2018-2816

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: Optimizer

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Optimizerの非開示の脆弱性

• CVE-2018-2846

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: Performance Schema

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Performance Schemaの非開示の脆弱性

• CVE-2018-2769

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: Pluggable Auth

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Pluggable Authの非開示の脆弱性

• CVE-2018-2776

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Group Replication GCS

• CVSS 3.0 Base Score 4.9

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Group Replication GCSの非開示の脆弱性

• CVE-2018-2762

• 影響するバージョン：5.7.21 and prior

• サブコンポーネント: Server: Connection

• CVSS 3.0 Base Score 4.4

• CVSS Vector: (CVSS:3.0/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Connectionの非開示の脆弱性

• CVE-2018-2771

• 影響するバージョン：5.5.59 and prior, 5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: Server: Locking

• CVSS 3.0 Base Score 4.4

• CVSS Vector: (CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Lockingの非開示の脆弱性

• CVE-2018-2813

• 影響するバージョン：5.5.59 and prior, 5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: Server: DDL

• CVSS 3.0 Base Score 4.3

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)

• DDLの非開示の脆弱性

• CVE-2018-2773

• 影響するバージョン：5.5.59 and prior, 5.6.39 and prior, 5.7.21 and prior

• サブコンポーネント: Client programs

• CVSS 3.0 Base Score 4.1

• CVSS Vector: (CVSS:3.0/AV:L/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H)

• Clientプログラムの非開示の脆弱性

• CVE-2016-9878

• 影響するバージョン：3.3.7.3306 and prior, 3.4.5.4248 and prior, 4.0.2.5168 and prior

• サブコンポーネント: EM Plugin: General (Spring Framework)

• CVSS 3.0 Base Score 3.8

• CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

• Spring Frameworkの脆弱性になります。

詳細は、各ディストリビューションの提供元にご確認ください

• Debian

• https://security-tracker.debian.org/tracker/CVE-2018-2755

• https://security-tracker.debian.org/tracker/CVE-2018-2805

• https://security-tracker.debian.org/tracker/CVE-2018-2782

• https://security-tracker.debian.org/tracker/CVE-2018-2784

• https://security-tracker.debian.org/tracker/CVE-2018-2819

• https://security-tracker.debian.org/tracker/CVE-2018-2758

• https://security-tracker.debian.org/tracker/CVE-2018-2817

• https://security-tracker.debian.org/tracker/CVE-2018-2775

• https://security-tracker.debian.org/tracker/CVE-2018-2780

• https://security-tracker.debian.org/tracker/CVE-2017-3737

• https://security-tracker.debian.org/tracker/CVE-2018-2761

• https://security-tracker.debian.org/tracker/CVE-2018-2786

• https://security-tracker.debian.org/tracker/CVE-2018-2787

• https://security-tracker.debian.org/tracker/CVE-2018-2812

• https://security-tracker.debian.org/tracker/CVE-2018-2877

• https://security-tracker.debian.org/tracker/CVE-2018-2759

• https://security-tracker.debian.org/tracker/CVE-2018-2766

• https://security-tracker.debian.org/tracker/CVE-2018-2777

• https://security-tracker.debian.org/tracker/CVE-2018-2810

• https://security-tracker.debian.org/tracker/CVE-2018-2818

• https://security-tracker.debian.org/tracker/CVE-2018-2839

• https://security-tracker.debian.org/tracker/CVE-2018-2778

• https://security-tracker.debian.org/tracker/CVE-2018-2779

• https://security-tracker.debian.org/tracker/CVE-2018-2781

• https://security-tracker.debian.org/tracker/CVE-2018-2816

• https://security-tracker.debian.org/tracker/CVE-2018-2846

• https://security-tracker.debian.org/tracker/CVE-2018-2769

• https://security-tracker.debian.org/tracker/CVE-2018-2776

• https://security-tracker.debian.org/tracker/CVE-2018-2762

• https://security-tracker.debian.org/tracker/CVE-2018-2771

• https://security-tracker.debian.org/tracker/CVE-2018-2813

• https://security-tracker.debian.org/tracker/CVE-2018-2773

• https://security-tracker.debian.org/tracker/CVE-2016-9878

• Red Hat Enterprise Linux/CentOS

• https://access.redhat.com/security/cve/CVE-2018-2755

• https://access.redhat.com/security/cve/CVE-2018-2805

• https://access.redhat.com/security/cve/CVE-2018-2782

• https://access.redhat.com/security/cve/CVE-2018-2784

• https://access.redhat.com/security/cve/CVE-2018-2819

• https://access.redhat.com/security/cve/CVE-2018-2758

• https://access.redhat.com/security/cve/CVE-2018-2817

• https://access.redhat.com/security/cve/CVE-2018-2775

• https://access.redhat.com/security/cve/CVE-2018-2780

• https://access.redhat.com/security/cve/CVE-2017-3737

• https://access.redhat.com/security/cve/CVE-2018-2761

• https://access.redhat.com/security/cve/CVE-2018-2786

• https://access.redhat.com/security/cve/CVE-2018-2787

• https://access.redhat.com/security/cve/CVE-2018-2812

• https://access.redhat.com/security/cve/CVE-2018-2877

• https://access.redhat.com/security/cve/CVE-2018-2759

• https://access.redhat.com/security/cve/CVE-2018-2766

• https://access.redhat.com/security/cve/CVE-2018-2777

• https://access.redhat.com/security/cve/CVE-2018-2810

• https://access.redhat.com/security/cve/CVE-2018-2818

• https://access.redhat.com/security/cve/CVE-2018-2839

• https://access.redhat.com/security/cve/CVE-2018-2778

• https://access.redhat.com/security/cve/CVE-2018-2779

• https://access.redhat.com/security/cve/CVE-2018-2781

• https://access.redhat.com/security/cve/CVE-2018-2816

• https://access.redhat.com/security/cve/CVE-2018-2846

• https://access.redhat.com/security/cve/CVE-2018-2769

• https://access.redhat.com/security/cve/CVE-2018-2776

• https://access.redhat.com/security/cve/CVE-2018-2762

• https://access.redhat.com/security/cve/CVE-2018-2771

• https://access.redhat.com/security/cve/CVE-2018-2813

• https://access.redhat.com/security/cve/CVE-2018-2773

• https://access.redhat.com/security/cve/CVE-2016-9878

• SUSE

• https://www.suse.com/security/cve/CVE-2018-2755.html

• https://www.suse.com/security/cve/CVE-2018-2805.html

• https://www.suse.com/security/cve/CVE-2018-2782.html

• https://www.suse.com/security/cve/CVE-2018-2784.html

• https://www.suse.com/security/cve/CVE-2018-2819.html

• https://www.suse.com/security/cve/CVE-2018-2758.html

• https://www.suse.com/security/cve/CVE-2018-2817.html

• https://www.suse.com/security/cve/CVE-2018-2775.html

• https://www.suse.com/security/cve/CVE-2018-2780.html

• https://www.suse.com/security/cve/CVE-2017-3737.html

• https://www.suse.com/security/cve/CVE-2018-2761.html

• https://www.suse.com/security/cve/CVE-2018-2786.html

• https://www.suse.com/security/cve/CVE-2018-2787.html

• https://www.suse.com/security/cve/CVE-2018-2812.html

• https://www.suse.com/security/cve/CVE-2018-2877.html

• https://www.suse.com/security/cve/CVE-2018-2759.html

• https://www.suse.com/security/cve/CVE-2018-2766.html

• https://www.suse.com/security/cve/CVE-2018-2777.html

• https://www.suse.com/security/cve/CVE-2018-2810.html

• https://www.suse.com/security/cve/CVE-2018-2818.html

• https://www.suse.com/security/cve/CVE-2018-2839.html

• https://www.suse.com/security/cve/CVE-2018-2778.html

• https://www.suse.com/security/cve/CVE-2018-2779.html

• https://www.suse.com/security/cve/CVE-2018-2781.html

• https://www.suse.com/security/cve/CVE-2018-2816.html

• https://www.suse.com/security/cve/CVE-2018-2846.html

• https://www.suse.com/security/cve/CVE-2018-2769.html

• https://www.suse.com/security/cve/CVE-2018-2776.html

• https://www.suse.com/security/cve/CVE-2018-2762.html

• https://www.suse.com/security/cve/CVE-2018-2771.html

• https://www.suse.com/security/cve/CVE-2018-2813.html

• https://www.suse.com/security/cve/CVE-2018-2773.html

• https://www.suse.com/security/cve/CVE-2016-9878.html

• Ubuntu

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2755

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2805

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2782

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2784

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2819

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2758

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2817

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2775

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2780

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-3737

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2761

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2786

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2787

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2812

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2877

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2759

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2766

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2777

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2810

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2818

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2839

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2778

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2779

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2781

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2816

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2846

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2769

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2776

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2762

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2771

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2813

• http://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-2773

• http://people.canonical.com/~ubuntu-security/cve/2016/CVE-2016-9878

Oracle Critical Patch Update Advisory – Apr 2018

セキュリティ系連載案内

• OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。

• OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。

• OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2017のレポートが紹介されています。

• OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。