【2024年10月版】MariaDBの脆弱性情報一覧

皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年10月2日に本記事を執筆しています。

今回はMariaDBの脆弱性情報一覧を公開してみたいと思います。

MariaDBはMariaDB Foundationが開発・サポートをしているオープンソースのリレーショナルデータベース管理システム（RDBMS）であり、MySQL Community Editionのフォーク（既存のソフトウェアをコピーして変更を加えた独自のバージョン）です。
MariaDBについては、別記事「MariaDBのバージョン情報とサポート期限」についてもご覧いただけますと幸いです。

安全で円滑なWebサイトの運用のためには、MariaDBについても最新バージョンへとアップデートする必要があります。

そこで、この記事ではMariaDBの脆弱性情報をまとめることで、企業のWeb担当者の皆様が、ご使用になられているMariaDBの脆弱性を簡単に把握できるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

2024年10月現在、MariaDBの公式（MariaDB Foundation）がセキュリティサポートをしているLTS版（Long-Term Support、長期サポート版）バージョンは、10.5,10.6,10.11 11.4の4系統となります。

MariaDBのバージョン10.8以下の場合には、CVSS v3において重要（7.0～8.9）以上に区分される脆弱性が、かなり多く発見されています。
基本的には、最新のパッチバージョンにアップデートすれば修正されますので、ご利用になられているバージョンをご確認ください。

MariaDBの脆弱性情報については、CVSS v3にて緊急（9.0～10.0）、重要（7.0～8.9）に区分されるものみを掲載します。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。前述の掲載ルール外の脆弱性情報については、JVN iPediaなどでご確認ください。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠しています。
※「影響を受けるバージョン」に関しては、基本的にJVNの記載に則っていますが、JVNとNVDで差異がある場合にはNDVを正としています。またJVD・NVDとMariaDB公式サイトに差異を見つけた場合にはMariaDB公式サイトを正としています（「公式サイト情報」と記載してあります）。
※CVEで採番されていない脆弱性情報や、CVEで採番されていてもJVNに掲載されていない脆弱性情報については掲載していません。
※本記事における脆弱性情報は、当社が把握している情報の一部であり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。
※1 NVDのサイト（CVE-2022-27378 Detail）では、10.8.3で修正されたと記載されている。

Webサイトに関して言えば、WordPressサイトに限らず、多くの企業でMariaDBが利用されています。

一方で、MariaDBのバージョンアップは複雑な作業工程を伴うため、安全に行うためには専門的な知識が必要ですが、自社内で保守を行うにも属人化が発生してリソースが足りなくなったり、徐々にシステムの規模が大きくなるにつれて社内では対応できなくなったりすることが増えています。

Web制作会社はいわゆるWebアプリケーション側（WebサイトやCMS等）を専門としていますので、MariaDBを含めたミドルウェアについては対応されていない会社も多いと思います。