MySQL/MariaDB Seite 2

In MariaDB MCP 0.1.0 fehlt laut NVD eine Nutzervalidierung im SSE-Dienst (Server-Sent Events), wodurch Angreifer sensible Informationen erlangen können. CVSS-Basiswert: 7.5 (Hoch). Zu einer verfügbaren Fehlerbehebung liegen in den Quelldaten keine Angaben vor.

Im Connector/J-Bestandteil des MySQL-Connectors-Produkts von Oracle MySQL besteht eine schwer ausnutzbare Schwachstelle. Betroffen sind die Versionen 9.0.0 bis 9.2.0. Ein Angreifer mit geringen Rechten und Netzwerkzugriff über mehrere Protokolle kann die MySQL Connectors kompromittieren, was zur vollständigen Übernahme führen kann. CVSS-Basiswert: 7.5 (Hoch).

In projectworlds Online Doctor Appointment Booking System 1.0 wurde eine als kritisch eingestufte Schwachstelle in der Datei /patient/invoice.php gefunden. Die Manipulation des Parameters appid führt zu einer SQL-Injection. Der Angriff kann laut NVD remote ausgeführt werden, ein Exploit wurde bereits öffentlich bekannt gemacht. CVSS-Basiswert: 7.3 (Hoch).

In projectworlds Online Doctor Appointment Booking System 1.0 wurde eine als kritisch eingestufte Schwachstelle in der Datei /patient/getschedule.php gefunden. Die Manipulation des Parameters q führt zu einer SQL-Injection. Der Angriff kann laut NVD remote initiiert werden, ein Exploit wurde bereits öffentlich bekannt gemacht. CVSS-Basiswert: 7.3 (Hoch).

In projectworlds Online Doctor Appointment Booking System 1.0 ermöglicht die Manipulation des Arguments patientFirstName in der Datei /patient/patientupdateprofile.php eine SQL-Injection. Laut NVD könnten auch weitere Parameter betroffen sein. Der Angriff kann remote ausgeführt werden, ein Exploit-Code wurde bereits öffentlich bekannt gemacht. CVSS-Basiswert: 7.3 (Hoch).

In projectworlds Online Doctor Appointment Booking System 1.0 ermöglicht die Manipulation des Parameters patientFirstName in /patient/profile.php SQL-Injection. Der Angriff kann remote initiiert werden, ein Exploit ist öffentlich bekannt; weitere Parameter könnten ebenfalls betroffen sein. CVSS-Basiswert: 7.3 (Hoch).

In projectworlds Online Doctor Appointment Booking System 1.0 führt die Datei /patient/appointment.php über den Parameter scheduleDate zu SQL-Injection. Die Schwachstelle ist remote ausnutzbar, ein Exploit wurde bereits öffentlich bekannt gemacht. Sie ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar, erfordert keine Rechte und keine Nutzerinteraktion; Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils gering betroffen. CVSS-Basiswert: 7.3 (Hoch).

In projectworlds Online Doctor Appointment Booking System 1.0 wurde eine als kritisch eingestufte Schwachstelle in einer unbekannten Funktion der Datei /patient/patientupdateprofile.php gefunden. Die Manipulation des Arguments patientFirstName führt zu SQL-Injection. Der Angriff ist remote durchführbar, der Exploit wurde öffentlich bekannt gemacht und kann bereits verwendet werden. Weitere Parameter könnten ebenfalls betroffen sein. CVSS-Basiswert: 7.3 (Hoch).

Im MySQL-Server-Produkt von Oracle MySQL (Komponente Server: Thread Pooling) besteht eine leicht ausnutzbare Schwachstelle, über die ein nicht authentifizierter Angreifer mit Netzwerkzugriff über mehrere Protokolle den MySQL-Server kompromittieren kann. Betroffen sind die Versionen 8.0.39 und früher, 8.4.2 und früher sowie 9.0.1 und früher. Ein erfolgreicher Angriff kann zu einem Hänger oder wiederholt reproduzierbarem Absturz (vollständiger DoS) des MySQL-Servers führen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor, eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Die Komponente Connector/Python des Oracle-MySQL-Connectors-Produkts weist eine schwer ausnutzbare Schwachstelle auf. Ein niedrig privilegierter Angreifer mit Netzwerkzugriff über mehrere Protokolle kann MySQL Connectors kompromittieren; ein erfolgreicher Angriff kann zur vollständigen Übernahme von MySQL Connectors führen. Betroffen sind unterstützte Versionen bis einschliesslich 9.0.0. CVSS-Basiswert: 7.5 (Hoch, Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit).

In itsourcecode Vehicle Management System 1.0 ermöglicht der Parameter driverid in der Datei driverprofile.php eine SQL-Injection; die Schwachstelle wird als kritisch eingestuft. Der Angriff ist laut NVD remote möglich, ein Exploit-Code ist öffentlich verfügbar. CVSS-Basiswert: 7.3 (Hoch).

In der Connector/Python-Komponente der Oracle-MySQL-Connectors erlaubt eine leicht ausnutzbare Schwachstelle unauthentifizierten Angreifern mit Netzwerkzugriff über mehrere Protokolle die Kompromittierung der MySQL-Connectors. Betroffen sind Version 8.3.0 und frühere. Ein erfolgreicher Angriff kann zu einem Hang oder wiederholt reproduzierbarem Absturz (vollständiger DoS) führen. CVSS-Basiswert: 7.5 (Hoch).

In keerti1924 PHP-MYSQL-User-Login-System 1.0 ermöglicht eine unzureichend geprüfte Eingabe im Parameter email der Datei /login.php eine SQL-Injection. Der Angriff kann remote ausgeführt werden, ein Exploit ist öffentlich bekannt (VDB-256034); der Hersteller reagierte trotz früher Kontaktaufnahme nicht. CVSS-Basiswert: 7.3 (Hoch).

In Oracle MySQL Connector/J (Version 8.1.0 und frühere) besteht eine schwer ausnutzbare Schwachstelle, die einem unauthentifizierten Angreifer mit Netzwerkzugriff über mehrere Protokolle erlaubt, MySQL Connectors zu kompromittieren. Der Angriff erfordert eine Interaktion einer weiteren Person als dem Angreifer selbst, kann aber durch den Scope-Wechsel auch zusätzliche Produkte signifikant beeinträchtigen. Ein erfolgreicher Angriff kann zur vollständigen Übernahme von MySQL Connectors führen. CVSS-Basiswert: 8.3 (Hoch).

Der MySQL Installer von Oracle MySQL (Komponente Installer: General) ist in Versionen vor 1.6.8 verwundbar. Ein Angreifer mit geringen Privilegien und Anmeldung auf der Infrastruktur, auf der der MySQL Installer läuft, kann die leicht ausnutzbare Schwachstelle kompromittieren; erforderlich ist die Interaktion einer weiteren Person, und der Angriff kann sich auf zusätzliche Produkte auswirken (Scope-Wechsel). Mögliche Folgen sind das unbefugte Anlegen, Löschen oder Ändern kritischer Daten sowie ein vollständiger Denial of Service des MySQL Installers. Der Patch ist laut Quelle in den mit MySQL Server 8.0.35 und 5.7.44 gebündelten Versionen enthalten. CVSS-Basiswert: 7.9 (Hoch). Empfohlene Massnahme: MySQL Installer auf Version 1.6.8 oder neuer aktualisieren.

In MariaDB wurde laut Quelle eine Schwachstelle gefunden, bei der ein OpenVAS-Portscan auf den Ports 3306 und 4567 einem böswilligen entfernten Client einen Denial of Service ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

zlib ist eine weit verbreitete Kompressionsbibliothek. In Version 1.2.8 kann die Datei inftrees.c kontextabhängigen Angreifern durch fehlerhafte (unzulässige) Zeigerarithmetik nicht näher spezifizierte Auswirkungen ermöglichen. Da zlib in zahlreiche Betriebssysteme und Anwendungen eingebettet ist, geben entsprechend viele Distributionen und Hersteller eigene Sicherheitshinweise heraus. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Empfohlene Massnahme: Aktualisierungen der jeweiligen Distribution bzw. des Herstellers einspielen.

Die Funktion inflateMark in inflate.c der Kompressionsbibliothek zlib 1.2.8 kann von kontextabhängigen Angreifern über Vektoren ausgenutzt werden, die Linksverschiebungen negativer Ganzzahlen beinhalten, und dabei nicht näher spezifizierte Auswirkungen haben. Da zlib in viele Betriebssysteme und Anwendungen eingebettet ist, sind zahlreiche Hersteller betroffen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von den jeweiligen Herstellern bereitgestellten Aktualisierungen für die betroffenen Produkte einspielen.

Apache Log4j2 in den Versionen 2.0-alpha1 bis 2.16.0 (ausgenommen 2.12.3 und 2.3.1) schützt nicht vor unkontrollierter Rekursion durch selbstreferenzielle Lookups. Ein Angreifer mit Kontrolle über Thread-Context-Map-Daten kann damit einen Denial-of-Service auslösen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-0195) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Für Apache Log4j wurde eine Sicherheitslücke (CVE-2017-5645) gemeldet, die von der Apache Software Foundation in ihren Sicherheitshinweisen geführt wird. Laut Quellenlage sind neben Apache Log4j auch Produkte zahlreicher weiterer Hersteller betroffen, darunter NetApp, Rockwell Automation, Oracle und Microsoft. Ausnutzungswahrscheinlichkeit (EPSS): 89.8 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-0221) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Die zugrunde liegende OpenSSL-Schwachstelle betrifft laut Quellenlage auch Produkte weiterer Hersteller. Ausnutzungswahrscheinlichkeit (EPSS): 87.9 %.

In SICK Package Analytics wurden im Zusammenhang mit CVE-2021-3711 Sicherheitslücken gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 87.8 %. 1 Produkt(e) betroffen, 0 mit Fix.

Für Produkte von Asustor, Axis, Siemens, OpenSSL und weiteren Herstellern wurde eine Sicherheitslücke (CVE-2022-1292) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 82.6 %.

Apache Tomcat verarbeitete den HTTP-Header transfer-encoding in bestimmten Konstellationen fehlerhaft, was unter Umständen die Möglichkeit von Request Smuggling eröffnet. Betroffen sind die Versionsreihen 10.0.0-M1 bis 10.0.6, 9.0.0.M1 bis 9.0.46 sowie 8.5.0 bis 8.5.66. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 75.4 %.

Eine OpenSSL-Schwachstelle (CVE-2022-0778) betrifft laut SICK PSIRT mehrere SICK-SIM-Produkte; zahlreiche weitere Hersteller führen ebenfalls Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 73.2 %. 10 Produkt(e) betroffen, 3 mit Fix.

Für Axis-Produkte wurde eine Sicherheitslücke behoben, die auf einer Schwachstelle in OpenSSL beruht; betroffen ist eine grosse Zahl weiterer Hersteller und Distributionen. Ausnutzungswahrscheinlichkeit (EPSS): 62.9 %.

Für curl wurde eine Sicherheitslücke (CVE-2021-22901) gemeldet; das curl-Projekt sowie weitere Hersteller führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 60.1 %.

Für Synology-Produkte wurde eine Sicherheitslücke in MariaDB gemeldet (CVE-2016-6662). Ausnutzungswahrscheinlichkeit (EPSS): 60.1 %.

Für Synology- und Axis-Produkte wurde eine Sicherheitslücke in OpenSSL gemeldet (Synology-SA-20:05). Ausnutzungswahrscheinlichkeit (EPSS): 53.3 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-2021-23840) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 50.7 %.

Für OpenSSL wurde eine Sicherheitslücke (CVE-2021-3712) gemeldet; zahlreiche Hersteller (u. a. Zimbra, Axis und NetApp) führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 50.4 %.

Für curl wurde eine Sicherheitslücke (CVE-2019-5436) gemeldet, die zahlreiche überwachte Produkte betrifft; das curl-Projekt (Daniel Stenberg) führt die betroffene Komponente in seinem Security-Advisory. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 49.7 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-0198) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Auch Rockwell Automation, The Document Foundation (LibreOffice) sowie OpenSSL, MySQL/MariaDB und mehrere Distributionen führen die Lücke in ihren Sicherheitshinweisen. Ausnutzungswahrscheinlichkeit (EPSS): 43.8 %.

Für Securepoint UTM wurde eine Sicherheitslücke (CVE-2016-2105) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 39.6 %.

Für mehrere Produkte (u. a. Znuny/OTRS, Drupal und NetApp) wurde eine Sicherheitslücke (CVE-2021-41182) gemeldet; die Hersteller führen sie in ihren Sicherheitshinweisen. Ausnutzungswahrscheinlichkeit (EPSS): 39.4 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-3450) gemeldet, die die OpenSSL-Bibliothek betrifft und per Advisory adressiert wurde; mehrere Hersteller sind betroffen. Eine nähere technische Beschreibung liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 18.3 %.

Für curl wurde eine Sicherheitslücke (CVE-2019-5482) gemeldet und im Sicherheitsadvisory des curl-Projekts dokumentiert. Ausnutzungswahrscheinlichkeit (EPSS): 17.9 %.

Für Produkte von Axis Communications liegt ein Sicherheitshinweis des Herstellers vor. Zur genauen Schwachstelle enthalten die Quelldaten keine belastbare technische Beschreibung, weshalb Angriffsweg und Auswirkung hier nicht näher ausgeführt werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 17.1 %. Empfohlene Massnahme: den referenzierten Sicherheitshinweis des Herstellers beachten und verfügbare Aktualisierungen einspielen.

Für Produkte von Axis und OpenSSL sowie zahlreiche weitere Hersteller (unter anderem SUSE/openSUSE, MySQL/MariaDB, Paessler und Oracle) wurde eine Sicherheitslücke (CVE-2019-1551) gemeldet. Ein CVSS-Basiswert liegt in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 14.3 %.

Für curl-Produkte wurde eine Sicherheitslücke (CVE-2019-3822) gemeldet; als Beleg dienen die Schwachstellenübersicht und die Security-Seite des curl-Projekts. Eine nähere technische Beschreibung, ein CVSS-Basiswert oder ein Veröffentlichungsdatum sind in den Quelldaten nicht enthalten. Ausnutzungswahrscheinlichkeit (EPSS): 12.8 %. Empfohlene Massnahme: auf eine aktuelle curl-Version aktualisieren.

Diese Schwachstelle betrifft curl/libcurl und wird in den Sicherheitshinweisen des Projekts geführt. Eine detaillierte technische Beschreibung liegt in den vorliegenden Quelldaten nicht vor, ebenso wenig ein CVSS-Basiswert. Ausnutzungswahrscheinlichkeit (EPSS): 11.0 %. Empfohlene Massnahme: die Sicherheitshinweise von curl prüfen und auf eine korrigierte Version aktualisieren.

Für mehrere Produkte (u. a. Znuny/OTRS, Ubiquiti und Fedora) wurde eine Sicherheitslücke (CVE-2021-41183) gemeldet; die Hersteller führen sie in ihren Sicherheitshinweisen. Nähere technische Details liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 8.5 %.

Diese OpenSSL-Schwachstelle ist laut dem Axis-Security-Advisory-Portal in Axis-Produkten dokumentiert und wird zusätzlich von zahlreichen weiteren Herstellern geführt, darunter Debian (DSA), Qualys/Rapid7/Tenable, Paessler AG, Apple (macOS/iOS), NetApp, Rockwell Automation, HPE Storage, IBM Storage, Pure Storage, MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers und Siemens ProductCERT. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 7.4 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

Für CVE-2019-5481 liegt ein Eintrag im curl-Sicherheitsadvisory (curl.se) vor. Die Zuordnung umfasst zudem Fedora, NetApp, NAKIVO, Axis, Paessler PRTG, MySQL/MariaDB, SimpleHelp, Debian (DSA) und SUSE/openSUSE. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 7.3 %.

Diese Schwachstelle in curl ist laut curl / Daniel Stenberg dokumentiert (curl.se Security-Advisories) und wird auch vom Axis-Security-Advisory-Portal sowie von Fedora, NetApp, NAKIVO, MySQL/MariaDB, Apple (macOS/iOS), Siemens Healthineers, Siemens ProductCERT und Debian (DSA) geführt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 6.7 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

curl (Daniel Stenberg) führt CVE-2021-22924 in den Sicherheitsmeldungen auf; betroffen sind laut Datenlage zudem Produkte, die die Bibliothek einsetzen, u. a. von Fedora, Debian, NetApp, NAKIVO, Siemens, SimpleHelp und .NET/Microsoft. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 6.3 %.

Für die Software curl wird in der Sicherheitsübersicht des Projekts (Daniel Stenberg) ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller und Distributionen (u. a. Fedora, NetApp, NAKIVO, Apple (macOS/iOS), MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers/ProductCERT, SimpleHelp Ltd sowie Splunk (Cisco)) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.9 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für curl sowie die nachgelagerten Produkte von Axis, Fedora, Debian (DSA), NetApp, NAKIVO, Rockwell Automation, SimpleHelp, Sonatype, MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Apple (macOS/iOS), Siemens Healthineers, Siemens ProductCERT, Magento/Adobe Commerce und Splunk (Cisco) wurde eine Schwachstelle gemeldet, dokumentiert in den curl-Sicherheitshinweisen sowie bei Axis Communications. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 4.5 %.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller und Distributionen (u. a. curl/Daniel Stenberg, Debian (DSA), Fedora, SimpleHelp Ltd, Sonatype, MySQL/MariaDB, Siemens Healthineers/ProductCERT sowie Splunk (Cisco)) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.