【2024年10月版】MySQLの脆弱性情報一覧

皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年10月1日に本記事を執筆しています。

今回はMySQLの脆弱性情報一覧を公開してみたいと思います。

MySQLはオラクル社がサポートをしているオープンソースのリレーショナルデータベース管理システム（RDBMS）です。
MySQLについては、別記事「MySQLのバージョン情報とサポート期限」にて言葉の定義などを記載していますのでご参照いただけますと幸いです。

本記事からリンクを貼っているJVNサイトなどでは「MySQL Server」という呼称が出てきますが、本記事では、前述の別記事で記載されている「MySQL Database」と同じものだと思っていただいても大丈夫です（本記事ではMySQL DatabaseのうちMySQL Serverに関して記載しております）。

安全で円滑なWebサイトの運用のためには、MySQLについても最新バージョンへとアップデートする必要があります。

そこで、この記事ではMySQLの脆弱性情報をまとめることで、企業のWeb担当者の皆様が、ご使用になられているMySQLの脆弱性を簡単に把握できるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

本記事におけるMySQLとはMySQL Databaseのことを指しています。

2024年10月現在、MySQLの公式がセキュリティサポートをしているバージョンは、8.0, 8.4の2系統のみです。

MySQLのバージョン8.0系統の場合には、CVSS v3にて重要（7.0～8.9）に区分される脆弱性が、かなり多く発見されています。
最新のパッチバージョンにアップデートすれば修正されますので、ご利用になられているバージョンをご確認ください。

MySQL の脆弱性情報については、CVSS v3にて緊急（9.0～10.0）、重要（7.0～8.9）に区分されるもののみを掲載します。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。前述の掲載ルール外の脆弱性情報については、JVN iPediaなどでご確認ください。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠しています。
※「影響を受けるバージョン」に関しては、Oracle MySQL Risk Matrixの記載方法に関して、メジャーバージョン系列ごとに影響範囲を指定しているものと解釈しています。例えば、「5.7.41 and prior」と記載があった場合、「MySQL5.7系列で5.7.41まで」（MySQL5.6以下は含まない）と解釈しています。
※CVEで採番されていない脆弱性情報や、CVEで採番されていてもJVNに掲載されていない脆弱性情報については掲載していません。
※本記事における脆弱性情報は、当社が把握している情報の一部であり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

Webサイトに関して言えば、WordPressサイトだけでなく、大手企業であっても数多くMySQLを利用されています。

一方で、MySQLのバージョンアップは複雑な作業工程を伴うため、安全に行うためには専門的な知識が必要ですが、自社内で保守を行うにも属人化が発生してリソースが足りなくなったり、徐々にシステムの規模が大きくなるにつれて社内では対応できなくなったりすることが増えています。

Web制作会社はいわゆるWebアプリケーション側（WebサイトやCMS等）を専門としていますので、MySQLを含めたミドルウェアについては対応されていない会社も多いと思います。
これは、MySQLのライセンス関係が複雑なことも理由の一つかもしれません。