ansible-mysql-cve-2016-6662

CVE-2016-6662 に対する MySQL サーバーにパッチを適用するためのシンプルな Ansible プレイブックです。

更新情報

• 20160915.2347.CEST: Kenny 氏から、Patrick Forsberg 氏が「元のパッチでは ../ による悪用を防げない」点を指摘したと知らされました。そこで、より厳格なパッチ（Percona 版と MySQL 版を組み合わせたもの）に置き換え、さらに、Percona パッチが既に適用されている場合はそれを削除するタスクも追加しました。

CVE の概要

簡単に言うと、悪意のある .so ファイルをファイルシステムに書き込み、次回のサービス再起動時にそれを読み込むように設定を変更しようとするものです。

パッチの概要

このパッチは実際の攻撃そのものを防ぐものではありませんが、mysqld_safe を変更して、.so ファイルが標準のシステム場所（mysqld が書き込みできない場所）からのみ読み込まれるようにします。また、mysqld が読み込む可能性のある各種デフォルトファイルの存在とパーミッションをチェックし、悪意のあるコードによる作成や改変を防ぎます。

使い方

• プレイブックの対象ホストを指定するには、ansible-playbook に --extra-vars='targets=host1,host2' を渡します。
• デフォルトファイルの報告だけでなく修正もさせたい場合は、ansible-playbook に --extra-vars='fs_fix_permissions=true' を渡します。

詳細

問題の詳細は https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6662 で確認できます。Percona の Kenny Gryp 氏が、簡潔かつ優れた解説を https://www.percona.com/blog/2016/09/12/database-affected-cve-2016-6662/ に投稿しています。

このプレイブックは、https://github.com/percona/percona-server/commit/c14be53e029442f576cced1fb8ff96b58e89f2e0#diff-144aa2f11374843c969d96b7b84247eaR261 の Percona パッチと、 の MySQL パッチを組み合わせたカスタムパッチを適用しようとします。