最新の MySQL データベース脆弱性レポート_MySQL

最近、MySQL データベースのコード実行の脆弱性 (CNNVD-201609-183) がインターネット上で公開されました。 MySQL データベースのデフォルト構成には特定の欠陥があるため、攻撃者はこの脆弱性を利用してデータベース構成ファイルを改ざんし、管理者権限で任意のコードを実行し、影響を受けるサーバーをリモート制御する可能性があります。現在、Oracleの公式Webサイトでは、重要なパッチアップデート情報が10月にリリースされることが発表されています。

1. 脆弱性の紹介

Oracle MySQL は、米国オラクル社が開発したオープンソースのリレーショナル データベース管理システムです。

MySQL データベースの構成ファイル (my.cnf) には、リモートでコードが実行される脆弱性があります (脆弱性番号: CNNVD-201609-183、CVE-2016-6662)。次のバージョンがこの脆弱性の影響を受けます: MySQL 5.7.15。およびそれ以前のバージョン、5.6.33 およびそれ以前のバージョン、5.5.52 およびそれ以前のバージョン。

CNNVD は、上記の脆弱性の利用原則を整理し、次のようにまとめました。

MySQL サービスにはサーバー上に 2 つのプロセスがあり、1 つは管理者 (root) 権限を持ち、もう 1 つは通常のユーザー (MySQL) 権限を持ちます。管理者 (root) 権限を持つプロセスは、構成ファイルで宣言されたダイナミック リンク ライブラリ (so ライブラリ) をロードして実行でき、SQL ステートメントを通じて上記の構成ファイルを変更したり、特定のファイル権限でトリガーを追加したりすることができます。その結果、MySQL サービスが再起動すると、管理者 (root) 権限を持つプロセスがダイナミック リンク ライブラリをロードして実行し、権限昇格の目的を達成するために任意のコードを実行します。

2. 脆弱性の危険性

攻撃者 (ローカルまたはリモート) はこの脆弱性を利用して、通常のアクセスまたは悪意のあるインジェクションを通じて構成ファイルを変更し、それによって管理者権限で任意のコードを実行し、影響を受けるサーバーを完全に制御する可能性があります。

2. 現在、MySQL カーネルを使用するオープンソース データベース MariaDB および PerconaDB がこの脆弱性の影響を受けており、脆弱性修正パッチは 9 月 6 日にリリースされました。

3.修理対策

Oracle の公式 Web サイトは、10 月 18 日に重要なパッチ更新をリリースします。影響を受ける可能性のあるユーザーは、脆弱性を修復し、隠れた危険を排除するために、時間内に情報に注意を払うように求められます。

お知らせリンク: http://www.oracle.com/technetwork/topics/security/alerts-086861.html

MySQL データベースをデプロイするユーザーは、使用している MySQL バージョンが影響を受ける範囲内にあるかどうかを直ちに確認する必要があります。影響を受ける場合は、MySQL ユーザー ファイルのアクセス許可をオフにするという緩和策を講じることができます。