こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

10月19日に月例のOracle の脆弱性が公開されました。今回はこの中のMySQLの脆弱性(CVE-2017-10424 , CVE-2017-5664 , CVE-2017-10155 , CVE-2017-3731 , CVE-2017-10379 , CVE-2017-10384 , CVE-2017-10276 , CVE-2017-10167 , CVE-2017-10378 , CVE-2017-10277 , CVE-2017-10203 , CVE-2017-10283 , CVE-2017-10313 , CVE-2017-10296 , CVE-2017-10311 , CVE-2017-10320 , CVE-2017-10314 , CVE-2017-10227 , CVE-2017-10279 , CVE-2017-10294 , CVE-2017-10165 , CVE-2017-10284 , CVE-2017-10286 , CVE-2017-10268 , CVE-2017-10365
)についてまとめてみます。

• CVE-2017-10155

• 重要度 – Important

• 影響するバージョン：5.6.37 and earlier, 5.7.19 and earlier

• サブコンポーネント: Pluggable Auth

• 簡単に悪用可能な脆弱性により、認証されていない攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10165

• 重要度 – Moderate

• 影響するバージョン：5.7.19 and earlier

• サブコンポーネント: Replication

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10167

• 重要度 – Moderate

• 影響するバージョン：5.7.19 and earlier

• サブコンポーネント: Optimizer

• 簡単に悪用可能な脆弱性により、低い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10203

• 影響するバージョン：OSSではありません。6.9.9 and earlier

• サブコンポーネント: MySQL Connector

• OSSではありません。簡単に悪用可能な脆弱性により、認証されていない攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Server Connectorに対してPartial DoSを引き起こすことが可能です。

• CVE-2017-10227

• 重要度 – Moderate

• 影響するバージョン：5.6.37 and earlier, 5.7.19 and earlier

• サブコンポーネント: Optimizer

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10268

• 重要度 – Moderate

• 影響するバージョン：5.5.57 and earlier, 5.6.37 and earlier and 5.7.19 and earlier

• サブコンポーネント: Replication

• 悪用するのが難しい脆弱性ですが、高い特権を持っている攻撃者がMySQL Serverが実行されているインフラストラクチャにログオンすることを許可します。これにより、重要な情報にアクセスしたり、全てのMySQL Serverがアクセスできるデータに完全にアクセスすることが可能になります。

• CVE-2017-10276

• 重要度 – Moderate

• 影響するバージョン：5.6.37 and earlier, 5.7.19 and earlier

• サブコンポーネント: FTS

• 簡単に悪用可能な脆弱性により、低い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10277

• 影響するバージョン：OSSではありません。6.9.9 and earlier

• サブコンポーネント: MySQL Connector

• OSSではありません。簡単に悪用可能な脆弱性により、認証されていない攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Server Connectorがアクセスできるデータに対して認証されていないupdate, insert, deleteを行うことが可能です。

• CVE-2017-10279

• 重要度 – Moderate

• 影響するバージョン：5.6.37 and earlier, 5.7.19 and earlier

• サブコンポーネント: Optimizer

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10283

• 重要度 – Moderate

• 影響するバージョン：5.6.37 and earlier, 5.7.19 and earlier

• サブコンポーネント: Performance Schema

• 悪用することが難しいですが、低い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10284

• 重要度 – Moderate

• 影響するバージョン：5.7.18 and earlier

• サブコンポーネント: Stored Procedure

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10286

• 重要度 – Moderate

• 影響するバージョン：5.6.37 and earlier, 5.7.19 and earlier

• サブコンポーネント: InnoDB

• 悪用することが難しいですが、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10294

• 重要度 – Moderate

• 影響するバージョン：5.7.18 and earlier

• サブコンポーネント: Optimizer

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10296

• 重要度 – Moderate

• 影響するバージョン：5.7.18 and earlier

• サブコンポーネント: DML

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10311

• 重要度 – Moderate

• 影響するバージョン：5.7.19 and earlier

• サブコンポーネント: FTS

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10313

• 重要度 – Moderate

• 影響するバージョン：5.7.19 and earlier

• サブコンポーネント: Group Replication GCS

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10314

• 重要度 – Moderate

• 影響するバージョン： 5.6.37 and earlier , 5.7.19 and earlier

• サブコンポーネント: Memcached

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10320

• 重要度 – Moderate

• 影響するバージョン：5.7.19 and earlier

• サブコンポーネント: InnoDB

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10365

• 重要度 – Low

• 影響するバージョン： 5.7.18 and earlier

• サブコンポーネント: InnoDB

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverがアクセスできるデータに対する不正な挿入、更新、削除を行ったり、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10378

• 重要度 – Moderate

• 影響するバージョン：5.5.57 and earlier, 5.6.37 and earlier , 5.7.11 and earlier

• サブコンポーネント: Optimizer

• 簡単に悪用可能な脆弱性により、低い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10379

• 重要度 – Moderate

• 影響するバージョン：5.5.57 and earlier, 5.6.37 and earlier , 5.7.19 and earlier

• サブコンポーネント: Client Program

• 簡単に悪用可能な脆弱性により、低い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、重要なデータにアクセスしたり、MySQL Serverがアクセスできるデータに対して完全にアクセスすることが可能です。

• CVE-2017-10384

• 重要度 – Moderate

• 影響するバージョン： 5.5.57 and earlier , 5.6.37 and earlier , 5.7.19 and earlier

• サブコンポーネント: DDL

• 簡単に悪用可能な脆弱性により、高い特権を持っている攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Serverを侵害する可能性が有ります。この攻撃により、MySQL Serverのハングやクラッシュの繰り返し（完全なDoS）を引き起こすことが可能です。

• CVE-2017-10424

• 影響するバージョン：OSSではありません。6.9.9 and earlier

• サブコンポーネント: MySQL Enterprise Monitor: Monitoring: Web

• OSSではありません。簡単に悪用可能な脆弱性により、認証されていない攻撃者が複数のプロトコルを通してネットワークにアクセスし、MySQL Enterprise Monitorに対して攻撃を行うことが可能です。攻撃者以外の人間との対話が必要になります。

• CVE-2017-3731

• 重要度 – Moderate

• 2017年の年初に出た、OpenSSLの脆弱性になります。

• CVE-2017-5664

• 重要度 – Important

• 2017年6/6に出た、Tomcatの脆弱性になります。

詳細は、各ディストリビューションの提供元にご確認ください

• Debian

• https://security-tracker.debian.org/tracker/CVE-2017-10155

• https://security-tracker.debian.org/tracker/CVE-2017-10165

• https://security-tracker.debian.org/tracker/CVE-2017-10167

• https://security-tracker.debian.org/tracker/CVE-2017-10227

• https://security-tracker.debian.org/tracker/CVE-2017-10268

• https://security-tracker.debian.org/tracker/CVE-2017-10276

• https://security-tracker.debian.org/tracker/CVE-2017-10279

• https://security-tracker.debian.org/tracker/CVE-2017-10283

• https://security-tracker.debian.org/tracker/CVE-2017-10284

• https://security-tracker.debian.org/tracker/CVE-2017-10286

• https://security-tracker.debian.org/tracker/CVE-2017-10294

• https://security-tracker.debian.org/tracker/CVE-2017-10296

• https://security-tracker.debian.org/tracker/CVE-2017-10311

• https://security-tracker.debian.org/tracker/CVE-2017-10313

• https://security-tracker.debian.org/tracker/CVE-2017-10314

• https://security-tracker.debian.org/tracker/CVE-2017-10320

• https://security-tracker.debian.org/tracker/CVE-2017-10365

• https://security-tracker.debian.org/tracker/CVE-2017-10378

• https://security-tracker.debian.org/tracker/CVE-2017-10379

• https://security-tracker.debian.org/tracker/CVE-2017-10384

• https://security-tracker.debian.org/tracker/CVE-2017-3731

• https://security-tracker.debian.org/tracker/CVE-2017-5664

• Red Hat Enterprise Linux/CentOS

• https://access.redhat.com/security/cve/CVE-2017-10155

• https://access.redhat.com/security/cve/CVE-2017-10165

• https://access.redhat.com/security/cve/CVE-2017-10167

• https://access.redhat.com/security/cve/CVE-2017-10227

• https://access.redhat.com/security/cve/CVE-2017-10268

• https://access.redhat.com/security/cve/CVE-2017-10276

• https://access.redhat.com/security/cve/CVE-2017-10279

• https://access.redhat.com/security/cve/CVE-2017-10283

• https://access.redhat.com/security/cve/CVE-2017-10284

• https://access.redhat.com/security/cve/CVE-2017-10286

• https://access.redhat.com/security/cve/CVE-2017-10294

• https://access.redhat.com/security/cve/CVE-2017-10296

• https://access.redhat.com/security/cve/CVE-2017-10311

• https://access.redhat.com/security/cve/CVE-2017-10313

• https://access.redhat.com/security/cve/CVE-2017-10314

• https://access.redhat.com/security/cve/CVE-2017-10320

• https://access.redhat.com/security/cve/CVE-2017-10365

• https://access.redhat.com/security/cve/CVE-2017-10378

• https://access.redhat.com/security/cve/CVE-2017-10379

• https://access.redhat.com/security/cve/CVE-2017-10384

• https://access.redhat.com/security/cve/CVE-2017-3731

• https://access.redhat.com/security/cve/CVE-2017-5664

• Oracle Linux

• Oracle Linux 6

• Oracle Linux 7

• SUSE

• https://www.suse.com/security/cve/CVE-2017-10155.html

• https://www.suse.com/security/cve/CVE-2017-10165.html

• https://www.suse.com/security/cve/CVE-2017-10167.html

• https://www.suse.com/security/cve/CVE-2017-10227.html

• https://www.suse.com/security/cve/CVE-2017-10268.html

• https://www.suse.com/security/cve/CVE-2017-10276.html

• https://www.suse.com/security/cve/CVE-2017-10279.html

• https://www.suse.com/security/cve/CVE-2017-10283.html

• https://www.suse.com/security/cve/CVE-2017-10284.html

• https://www.suse.com/security/cve/CVE-2017-10286.html

• https://www.suse.com/security/cve/CVE-2017-10294.html

• https://www.suse.com/security/cve/CVE-2017-10296.html

• https://www.suse.com/security/cve/CVE-2017-10311.html

• https://www.suse.com/security/cve/CVE-2017-10313.html

• https://www.suse.com/security/cve/CVE-2017-10314.html

• https://www.suse.com/security/cve/CVE-2017-10320.html

• https://www.suse.com/security/cve/CVE-2017-10365.html

• https://www.suse.com/security/cve/CVE-2017-10378.html

• https://www.suse.com/security/cve/CVE-2017-10379.html

• https://www.suse.com/security/cve/CVE-2017-10384.html

• https://www.suse.com/security/cve/CVE-2017-3731.html

• https://www.suse.com/security/cve/CVE-2017-5664.html

• Ubuntu

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10155

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10165

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10167

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10227

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10268

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10276

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10279

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10283

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10284

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10286

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10294

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10296

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10311

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10313

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10314

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10320

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10365

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10378

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10379

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-10384

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-3731

• http://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-5664

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat Satelliteを使うと管理が便利でしょう。

また、サービスの再起動が発生しますので、pacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

セキュリティ系連載案内

• OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。

• OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。

• OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2017のレポートが紹介されています。

セミナー情報

2017/11/29 19:00に、OSSセキュリティ技術の会　第二回勉強会を行います。

今回のテーマは新世代のＯＳＳ認証基盤です。

https://connpass.com/event/69314/がプログラム内容と申し込みの詳細になります。奮ってご参加下さい。