【緊急】RDS for MySQL アップデートのお知らせ

はじめに

こんにちは植木和樹です。本日10月17日付けでMySQL 5.5/5.6に対する脆弱性が発表されています。これはAWSのRDSも対象となっています。

• AWS Developer Forums: 【参考日本語訳】MySQL 5.5 and 5.6 Security Advisory
• MySQL 5.5 and 5.6 Security Advisory

上記ページのリンク先にあるOracleの発表を読むと、「ユーザーパスワード認証なしに悪意のあるコードを実行できる」とあります。

RDSへの影響

影響

MySQLのマイナーバージョンアップグレードが強制的に実施・インスタンスリブートされ、数分間データベースへアクセスできなくなります。

データベースエンジンはMySQLのみ

対象はMySQLのみとなっています。PostgreSQL、Oracle、MS-SQL Serverは対象外です。

対象となるMySQLのバージョン

• MySQL 5.5.40 より古いバージョン
• または 5.6.21 より古いバージョン

対象となるインスタンス

すべてのMySQLインスタンスが対象になります。

セキュリティグループにソース「0.0.0.0/0」で許可の指定が入っている場合

• RDSのセキュリティグループが 0.0.0.0/0 で解放されているインスタンス

10/18（土） AM4時（日本時間）以降のメンテナンスウィンドウで強制的にアップデートされます。強制アップグレードを待たずに、手動でアップデートすることも可能です。

セキュリティグループにソース「0.0.0.0/0」で許可の指定がない場合

10/21（火） AM4時（日本時間）〜10/28 AM4時までのメンテナンスウィンドウ内で強制アップデートされます。

下記条件であっても対象になります。

• Auto Minor Version Upgrade option がNoになっている

対応について

セキュリティグループで、「0.0.0.0/0」を許可している場合は、アクセス元の制限を実施してください。

• 制限しない場合、10/18 4:00 AM以降、最も早いメンテナンスウィンドウにアップデートが発生します
• メンテナンス期間を、10/21 4:00 AM以降に延期することが可能です
• パブリックアクセスがNoのRDSインスタンスは、「0.0.0.0/0」を許可のルールがあっても実質的にはインターネットからの接続は遮断されてますが、今回のアップデートでは、「0.0.0.0/0」許可の有無でスケジュールされるため、アクセス元制限をお勧めします。

制限した場合は、10月21日以降アップグレードされます。これはインスタンスに設定されたメンテナンスウィンドウの時間内で実行されますので、サービスに影響のない曜日・時間帯になっているか改めてご確認ください。

ご不明な点があればAWSサポート、またはご契約中のAWSコンサルティングパートナーまでご相談ください。