MySQL, OpenSSL : exécution de code à distance

1. Vérifier si vous êtes concerné

   Versions ou systèmes touchés :

   MySQL Connectors (_Connector/Python) version 26.7.0

   MySQL Connectors (_Connector/Net) version 26.7.0

   MySQL Enterprise Backup version 26.7.0

   MySQL Enterprise Backup version 8.4.0 à 8.4.12

   MySQL Enterprise Backup version 9.7.0 à 9.7.3

   MySQL Server version 26.7.0 à 26.7.1

   MySQL Server version 9.7.0 à 9.7.3

   MySQL Connectors (_Connector/J) version 26.7.0

   MySQL Cluster version 26.7.0 et version 26.7.1

   MySQL Cluster versions 8.0.0 à 8.0.49

   MySQL Connectors (_Connector/ODBC) version 26.7.1

   MySQL Router version 26.7.0

   MySQL Server version 8.4.0 à 8.4.12

   MySQL Enterprise Backup version 8.0.0 à 8.0.49

   MySQL Cluster version 8.4.0 à 8.4.12

   MySQL Cluster version 8.0.0 à 8.0.37

   mysql --version
   mysqld --version

2. Corriger

   Versions corrigées : voir l'avis de l'éditeur (lien dans les sources).

   Mettre à jour MySQL (paquet de la distribution ou dépôt Oracle) et redémarrer le service, après sauvegarde.

   sudo apt update && sudo apt install --only-upgrade "mysql-server*"

3. En attendant le correctif

   Vérifier que le port 3306 n'est pas exposé sur Internet.

4. Contrôler

   mysqld --version doit afficher la version corrigée.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

De multiples vulnérabilités ont été découvertes dans Oracle MySQL. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données. Risques : Déni de service à distance, Exécution de code arbitraire à distance, Atteinte à l'intégrité des données, Contournement de la politique de sécurité, Atteinte à la confidentialité des données.