製品・ソフトウェアに関する情報

JVN脆弱性詳細

MySQL における SSL サーバになりすまされる脆弱性

タイトル	MySQL における SSL サーバになりすまされる脆弱性
概要	MySQL の vio_verify_callback 関数には、OpenSSL を使用している場合に X.509 証明書の処理に不備があるため、SSL サーバになりすまされる脆弱性が存在します。
想定される影響	中間者攻撃者による巧妙に細工された証明書により、SSL サーバになりすまされる可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2009年11月4日0:00
登録日	2010年1月8日12:39
最終更新日	2010年6月3日14:57

CVSS2.0 : 警告
スコア	6.4
ベクター	AV:N/AC:L/Au:N/C:N/I:P/A:P

影響を受けるシステム

レッドハット

Red Hat Enterprise Linux 5 (server)

Red Hat Enterprise Linux Desktop 5.0 (client)

Red Hat Enterprise Linux EUS 5.4.z (server)

RHEL Desktop Workstation 5 (client)

ターボリナックス

Turbolinux Appliance Server 2.0

Turbolinux Appliance Server 3.0

Turbolinux Appliance Server 3.0 (x64)

Turbolinux Client 2008

Turbolinux FUJI

Turbolinux Server 10

Turbolinux Server 10 (x64)

Turbolinux Server 11

Turbolinux Server 11 (x64)

サイバートラスト株式会社

Asianux Server 3 (x86)

Asianux Server 3 (x86-64)

MySQL AB

MySQL 5.0.88 未満

MySQL 5.1.41 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2009-4028	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4028
National Vulnerability Database (NVD)
2	CVE-2009-4028	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-4028

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-20	https://jvndb.jvn.jp/ja/cwe/CWE-20.html

ベンダー情報

No	名前	URL
Asianux Technical Support Network
1	mysql-5.0.77-4.2.1.AXS	https://tsn.miraclelinux.com/tsn_local/index.php?m=errata&a=detail&eid=985
MySQL Documentation
2	Changes in MySQL 5.0.88	http://dev.mysql.com/doc/refman/5.0/en/news-5-0-88.html
3	Changes in MySQL 5.1.41	http://dev.mysql.com/doc/refman/5.1/en/news-5-1-41.html
Red Hat Security Advisory
4	RHSA-2010:0109	https://rhn.redhat.com/errata/RHSA-2010-0109.html
製品セキュリティ情報
5	TLSA-2010-17	http://www.turbolinux.co.jp/security/2010/TLSA-2010-17j.txt

その他

No	名前	URL
Secunia Advisory
1	SA37372	http://secunia.com/advisories/37372/
SecurityFocus
2	37076	http://www.securityfocus.com/bid/37076
VUPEN Security
3	VUPEN/ADV-2009-3311	http://www.vupen.com/english/advisories/2009/3311

変更履歴

No	変更内容	変更日
0	[2010年01月08日] 掲載 [2010年03月01日] 影響を受けるシステム：レッドハット (RHSA-2010:0109) の情報を追加影響を受けるシステム：ミラクル・リナックス (mysql-5.0.77-4.2.1.AXS) の情報を追加ベンダ情報：レッドハット (RHSA-2010:0109) を追加ベンダ情報：ミラクル・リナックス (mysql-5.0.77-4.2.1.AXS) を追加 [2010年06月03日] 影響を受けるシステム：ターボリナックス (TLSA-2010-17) の情報を追加ベンダ情報：ターボリナックス (TLSA-2010-17) を追加	2018年2月17日10:37

NVD脆弱性情報

CVE-2009-4028

概要	The vio_verify_callback function in viosslfactories.c in MySQL 5.0.x before 5.0.88 and 5.1.x before 5.1.41, when OpenSSL is used, accepts a value of zero for the depth of X.509 certificates, which allows man-in-the-middle attackers to spoof arbitrary SSL-based MySQL servers via a crafted certificate, as demonstrated by a certificate presented by a server linked against the yaSSL library.
公表日	2009年12月1日2:30
登録日	2021年1月29日13:25
最終更新日	2019年12月18日5:26

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:a:mysql:mysql:5.0.0:::::::*
cpe:2.3:a:mysql:mysql:5.0.1:::::::*
cpe:2.3:a:mysql:mysql:5.0.2:::::::*
cpe:2.3:a:mysql:mysql:5.0.3:::::::*
cpe:2.3:a:mysql:mysql:5.0.4:::::::*
cpe:2.3:a:mysql:mysql:5.0.5:::::::*
cpe:2.3:a:mysql:mysql:5.0.5.0.21:::::::*
cpe:2.3:a:mysql:mysql:5.0.10:::::::*
cpe:2.3:a:mysql:mysql:5.0.15:::::::*
cpe:2.3:a:mysql:mysql:5.0.16:::::::*
cpe:2.3:a:mysql:mysql:5.0.17:::::::*
cpe:2.3:a:mysql:mysql:5.0.20:::::::*
cpe:2.3:a:mysql:mysql:5.0.22.1.0.1:::::::*
cpe:2.3:a:mysql:mysql:5.0.24:::::::*
cpe:2.3:a:mysql:mysql:5.0.30:::::::*
cpe:2.3:a:mysql:mysql:5.0.36:::::::*
cpe:2.3:a:mysql:mysql:5.0.44:::::::*
cpe:2.3:a:mysql:mysql:5.0.54:::::::*
cpe:2.3:a:mysql:mysql:5.0.56:::::::*
cpe:2.3:a:mysql:mysql:5.0.60:::::::*
cpe:2.3:a:mysql:mysql:5.0.66:::::::*
cpe:2.3:a:mysql:mysql:5.0.82:::::::*
cpe:2.3:a:mysql:mysql:5.0.84:::::::*
cpe:2.3:a:mysql:mysql::::::::		5.0.87
cpe:2.3:a:mysql:mysql:5.1.5:::::::*
cpe:2.3:a:mysql:mysql:5.1.23:::::::*
cpe:2.3:a:mysql:mysql:5.1.31:::::::*
cpe:2.3:a:mysql:mysql:5.1.32:::::::*
cpe:2.3:a:mysql:mysql:5.1.34:::::::*
cpe:2.3:a:mysql:mysql:5.1.37:::::::*
cpe:2.3:a:oracle:mysql:5.0.0:alpha::::::
cpe:2.3:a:oracle:mysql:5.0.3:beta::::::
cpe:2.3:a:oracle:mysql:5.0.6:::::::*
cpe:2.3:a:oracle:mysql:5.0.7:::::::*
cpe:2.3:a:oracle:mysql:5.0.8:::::::*
cpe:2.3:a:oracle:mysql:5.0.11:::::::*
cpe:2.3:a:oracle:mysql:5.0.12:::::::*
cpe:2.3:a:oracle:mysql:5.0.13:::::::*
cpe:2.3:a:oracle:mysql:5.0.14:::::::*
cpe:2.3:a:oracle:mysql:5.0.18:::::::*
cpe:2.3:a:oracle:mysql:5.0.19:::::::*
cpe:2.3:a:oracle:mysql:5.0.21:::::::*
cpe:2.3:a:oracle:mysql:5.0.22:::::::*
cpe:2.3:a:oracle:mysql:5.0.23:::::::*
cpe:2.3:a:oracle:mysql:5.0.25:::::::*
cpe:2.3:a:oracle:mysql:5.0.26:::::::*
cpe:2.3:a:oracle:mysql:5.0.27:::::::*
cpe:2.3:a:oracle:mysql:5.0.30:sp1::::::
cpe:2.3:a:oracle:mysql:5.0.32:::::::*
cpe:2.3:a:oracle:mysql:5.0.33:::::::*
cpe:2.3:a:oracle:mysql:5.0.37:::::::*
cpe:2.3:a:oracle:mysql:5.0.38:::::::*
cpe:2.3:a:oracle:mysql:5.0.41:::::::*
cpe:2.3:a:oracle:mysql:5.0.42:::::::*
cpe:2.3:a:oracle:mysql:5.0.45:::::::*
cpe:2.3:a:oracle:mysql:5.0.50:::::::*
cpe:2.3:a:oracle:mysql:5.0.51:::::::*
cpe:2.3:a:oracle:mysql:5.0.52:::::::*
cpe:2.3:a:oracle:mysql:5.0.75:::::::*
cpe:2.3:a:oracle:mysql:5.0.77:::::::*
cpe:2.3:a:oracle:mysql:5.0.81:::::::*
cpe:2.3:a:oracle:mysql:5.0.83:::::::*
cpe:2.3:a:oracle:mysql:5.0.85:::::::*
cpe:2.3:a:oracle:mysql:5.0.86:::::::*
cpe:2.3:a:oracle:mysql:5.1:::::::*
cpe:2.3:a:oracle:mysql:5.1.1:::::::*
cpe:2.3:a:oracle:mysql:5.1.2:::::::*
cpe:2.3:a:oracle:mysql:5.1.3:::::::*
cpe:2.3:a:oracle:mysql:5.1.4:::::::*
cpe:2.3:a:oracle:mysql:5.1.6:::::::*
cpe:2.3:a:oracle:mysql:5.1.7:::::::*
cpe:2.3:a:oracle:mysql:5.1.8:::::::*
cpe:2.3:a:oracle:mysql:5.1.9:::::::*
cpe:2.3:a:oracle:mysql:5.1.10:::::::*
cpe:2.3:a:oracle:mysql:5.1.11:::::::*
cpe:2.3:a:oracle:mysql:5.1.12:::::::*
cpe:2.3:a:oracle:mysql:5.1.13:::::::*
cpe:2.3:a:oracle:mysql:5.1.14:::::::*
cpe:2.3:a:oracle:mysql:5.1.15:::::::*
cpe:2.3:a:oracle:mysql:5.1.16:::::::*
cpe:2.3:a:oracle:mysql:5.1.17:::::::*
cpe:2.3:a:oracle:mysql:5.1.18:::::::*
cpe:2.3:a:oracle:mysql:5.1.19:::::::*
cpe:2.3:a:oracle:mysql:5.1.20:::::::*
cpe:2.3:a:oracle:mysql:5.1.21:::::::*
cpe:2.3:a:oracle:mysql:5.1.22:::::::*
cpe:2.3:a:oracle:mysql:5.1.23:a::::::
cpe:2.3:a:oracle:mysql:5.1.24:::::::*
cpe:2.3:a:oracle:mysql:5.1.25:::::::*
cpe:2.3:a:oracle:mysql:5.1.26:::::::*
cpe:2.3:a:oracle:mysql:5.1.27:::::::*
cpe:2.3:a:oracle:mysql:5.1.28:::::::*
cpe:2.3:a:oracle:mysql:5.1.29:::::::*
cpe:2.3:a:oracle:mysql:5.1.30:::::::*
cpe:2.3:a:oracle:mysql:5.1.31:sp1::::::
cpe:2.3:a:oracle:mysql:5.1.33:::::::*
cpe:2.3:a:oracle:mysql:5.1.34:sp1::::::
cpe:2.3:a:oracle:mysql:5.1.35:::::::*
cpe:2.3:a:oracle:mysql:5.1.36:::::::*
cpe:2.3:a:oracle:mysql:5.1.37:sp1::::::
cpe:2.3:a:oracle:mysql:5.1.38:::::::*
cpe:2.3:a:oracle:mysql:5.1.39:::::::*
cpe:2.3:a:oracle:mysql:5.1.40:::::::*
cpe:2.3:a:oracle:mysql:5.1.40:sp1::::::

構成1	以上	以下	より上	未満
cpe:2.3:a:mysql:mysql:5.0.0:::::::*
cpe:2.3:a:mysql:mysql:5.0.1:::::::*
cpe:2.3:a:mysql:mysql:5.0.2:::::::*
cpe:2.3:a:mysql:mysql:5.0.3:::::::*
cpe:2.3:a:mysql:mysql:5.0.4:::::::*
cpe:2.3:a:mysql:mysql:5.0.5:::::::*
cpe:2.3:a:mysql:mysql:5.0.5.0.21:::::::*
cpe:2.3:a:mysql:mysql:5.0.10:::::::*
cpe:2.3:a:mysql:mysql:5.0.15:::::::*
cpe:2.3:a:mysql:mysql:5.0.16:::::::*
cpe:2.3:a:mysql:mysql:5.0.17:::::::*
cpe:2.3:a:mysql:mysql:5.0.20:::::::*
cpe:2.3:a:mysql:mysql:5.0.22.1.0.1:::::::*
cpe:2.3:a:mysql:mysql:5.0.24:::::::*
cpe:2.3:a:mysql:mysql:5.0.30:::::::*
cpe:2.3:a:mysql:mysql:5.0.36:::::::*
cpe:2.3:a:mysql:mysql:5.0.44:::::::*
cpe:2.3:a:mysql:mysql:5.0.54:::::::*
cpe:2.3:a:mysql:mysql:5.0.56:::::::*
cpe:2.3:a:mysql:mysql:5.0.60:::::::*
cpe:2.3:a:mysql:mysql:5.0.66:::::::*
cpe:2.3:a:mysql:mysql:5.0.82:::::::*
cpe:2.3:a:mysql:mysql:5.0.84:::::::*
cpe:2.3:a:mysql:mysql::::::::		5.0.87
cpe:2.3:a:mysql:mysql:5.1.5:::::::*
cpe:2.3:a:mysql:mysql:5.1.23:::::::*
cpe:2.3:a:mysql:mysql:5.1.31:::::::*
cpe:2.3:a:mysql:mysql:5.1.32:::::::*
cpe:2.3:a:mysql:mysql:5.1.34:::::::*
cpe:2.3:a:mysql:mysql:5.1.37:::::::*
cpe:2.3:a:oracle:mysql:5.0.0:alpha::::::
cpe:2.3:a:oracle:mysql:5.0.3:beta::::::
cpe:2.3:a:oracle:mysql:5.0.6:::::::*
cpe:2.3:a:oracle:mysql:5.0.7:::::::*
cpe:2.3:a:oracle:mysql:5.0.8:::::::*
cpe:2.3:a:oracle:mysql:5.0.11:::::::*
cpe:2.3:a:oracle:mysql:5.0.12:::::::*
cpe:2.3:a:oracle:mysql:5.0.13:::::::*
cpe:2.3:a:oracle:mysql:5.0.14:::::::*
cpe:2.3:a:oracle:mysql:5.0.18:::::::*
cpe:2.3:a:oracle:mysql:5.0.19:::::::*
cpe:2.3:a:oracle:mysql:5.0.21:::::::*
cpe:2.3:a:oracle:mysql:5.0.22:::::::*
cpe:2.3:a:oracle:mysql:5.0.23:::::::*
cpe:2.3:a:oracle:mysql:5.0.25:::::::*
cpe:2.3:a:oracle:mysql:5.0.26:::::::*
cpe:2.3:a:oracle:mysql:5.0.27:::::::*
cpe:2.3:a:oracle:mysql:5.0.30:sp1::::::
cpe:2.3:a:oracle:mysql:5.0.32:::::::*
cpe:2.3:a:oracle:mysql:5.0.33:::::::*
cpe:2.3:a:oracle:mysql:5.0.37:::::::*
cpe:2.3:a:oracle:mysql:5.0.38:::::::*
cpe:2.3:a:oracle:mysql:5.0.41:::::::*
cpe:2.3:a:oracle:mysql:5.0.42:::::::*
cpe:2.3:a:oracle:mysql:5.0.45:::::::*
cpe:2.3:a:oracle:mysql:5.0.50:::::::*
cpe:2.3:a:oracle:mysql:5.0.51:::::::*
cpe:2.3:a:oracle:mysql:5.0.52:::::::*
cpe:2.3:a:oracle:mysql:5.0.75:::::::*
cpe:2.3:a:oracle:mysql:5.0.77:::::::*
cpe:2.3:a:oracle:mysql:5.0.81:::::::*
cpe:2.3:a:oracle:mysql:5.0.83:::::::*
cpe:2.3:a:oracle:mysql:5.0.85:::::::*
cpe:2.3:a:oracle:mysql:5.0.86:::::::*
cpe:2.3:a:oracle:mysql:5.1:::::::*
cpe:2.3:a:oracle:mysql:5.1.1:::::::*
cpe:2.3:a:oracle:mysql:5.1.2:::::::*
cpe:2.3:a:oracle:mysql:5.1.3:::::::*
cpe:2.3:a:oracle:mysql:5.1.4:::::::*
cpe:2.3:a:oracle:mysql:5.1.6:::::::*
cpe:2.3:a:oracle:mysql:5.1.7:::::::*
cpe:2.3:a:oracle:mysql:5.1.8:::::::*
cpe:2.3:a:oracle:mysql:5.1.9:::::::*
cpe:2.3:a:oracle:mysql:5.1.10:::::::*
cpe:2.3:a:oracle:mysql:5.1.11:::::::*
cpe:2.3:a:oracle:mysql:5.1.12:::::::*
cpe:2.3:a:oracle:mysql:5.1.13:::::::*
cpe:2.3:a:oracle:mysql:5.1.14:::::::*
cpe:2.3:a:oracle:mysql:5.1.15:::::::*
cpe:2.3:a:oracle:mysql:5.1.16:::::::*
cpe:2.3:a:oracle:mysql:5.1.17:::::::*
cpe:2.3:a:oracle:mysql:5.1.18:::::::*
cpe:2.3:a:oracle:mysql:5.1.19:::::::*
cpe:2.3:a:oracle:mysql:5.1.20:::::::*
cpe:2.3:a:oracle:mysql:5.1.21:::::::*
cpe:2.3:a:oracle:mysql:5.1.22:::::::*
cpe:2.3:a:oracle:mysql:5.1.23:a::::::
cpe:2.3:a:oracle:mysql:5.1.24:::::::*
cpe:2.3:a:oracle:mysql:5.1.25:::::::*
cpe:2.3:a:oracle:mysql:5.1.26:::::::*
cpe:2.3:a:oracle:mysql:5.1.27:::::::*
cpe:2.3:a:oracle:mysql:5.1.28:::::::*
cpe:2.3:a:oracle:mysql:5.1.29:::::::*
cpe:2.3:a:oracle:mysql:5.1.30:::::::*
cpe:2.3:a:oracle:mysql:5.1.31:sp1::::::
cpe:2.3:a:oracle:mysql:5.1.33:::::::*
cpe:2.3:a:oracle:mysql:5.1.34:sp1::::::
cpe:2.3:a:oracle:mysql:5.1.35:::::::*
cpe:2.3:a:oracle:mysql:5.1.36:::::::*
cpe:2.3:a:oracle:mysql:5.1.37:sp1::::::
cpe:2.3:a:oracle:mysql:5.1.38:::::::*
cpe:2.3:a:oracle:mysql:5.1.39:::::::*
cpe:2.3:a:oracle:mysql:5.1.40:::::::*
cpe:2.3:a:oracle:mysql:5.1.40:sp1::::::

No	URL	refsource	タグ
1	http://bugs.mysql.com/47320	CONFIRM
2	http://dev.mysql.com/doc/refman/5.0/en/news-5-0-88.html	CONFIRM
3	http://dev.mysql.com/doc/refman/5.1/en/news-5-1-41.html	CONFIRM
4	http://lists.mysql.com/commits/87446	MLIST	Exploit
5	http://lists.opensuse.org/opensuse-security-announce/2010-05/msg00001.html	SUSE
6	http://marc.info/?l=oss-security&m=125881733826437&w=2	MLIST
7	http://www.openwall.com/lists/oss-security/2009/11/19/3	MLIST
8	http://www.openwall.com/lists/oss-security/2009/11/23/16	MLIST
9	http://www.redhat.com/support/errata/RHSA-2010-0109.html	REDHAT
10	http://www.vupen.com/english/advisories/2010/1107	VUPEN	Vendor Advisory
11	https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A10940	OVAL
12	https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A8510	OVAL