概要
VitessはMySQLの水平スケーリングを目的としたデータベースクラスタリングシステムです。このシステムにおいて、バックアップの復元プロセスに脆弱性が存在することが報告されました。具体的には、バックアップストレージ（例：S3バケット）への読み書きアクセス権を持つ攻撃者が、バックアップマニフェストファイルを不正に操作することで、そのバックアップが復元される際に任意のコードを実行できる可能性があります。
影響範囲
本脆弱性の影響を受けるVitessのバージョンは、バージョン23.0.3および22.0.4より前のものです。これらのバージョンを使用している環境が影響を受ける可能性があります。
想定される影響
本脆弱性が悪用された場合、攻撃者はVitessが稼働する本番デプロイメント環境に対して、意図しない不正なアクセス権を獲得する可能性があります。これにより、環境内の機密情報へのアクセスや、任意の追加コマンドの実行が可能になる恐れがあります。結果として、データ漏洩やシステムの改ざん、サービス停止など、重大な被害につながる可能性があります。
攻撃成立条件・悪用状況
攻撃が成立するためには、攻撃者がVitessのバックアップストレージ（例：S3バケット）に対する読み書きアクセス権を持っている必要があります。現在のところ、本脆弱性の具体的な悪用状況については、公開情報からは確認できません。
推奨対策
今すぐできる対策（最優先）
- Vitessのアップデート: 脆弱性が修正されたバージョン23.0.3または22.0.4以降へ、速やかにアップデートすることを強く推奨します。
中長期的な対策
- バックアップストレージのアクセス制御強化: バックアップストレージ（S3バケットなど）へのアクセス権限を厳格に管理し、最小権限の原則に基づいたアクセス制御を徹底してください。特に、書き込み権限を持つユーザーやシステムを限定することが重要です。
一時的な緩和策
アップデートが困難な場合、以下の緩和策を適用することでリスクを軽減できる可能性があります。
- 外部デコンプレッサーの明示的な指定:
vttabletおよびvtbackupの--external-decompressorフラグに、使用する外部デコンプレッサーコマンドを明示的に指定します。これにより、マニフェストファイル内の値が上書きされ、不正なコマンドの実行を防ぐことができます。 - 無害なコマンドの指定: 外部デコンプレッサーを使用しない場合でも、
--external-decompressorフラグにcatやteeのような無害なコマンドを指定することで、常に安全なコマンドが使用されるように設定できます。
確認方法
現在ご使用のVitessのバージョンを確認し、バージョン23.0.3または22.0.4より前である場合は、本脆弱性の影響を受ける可能性があります。
参考情報
詳細については、以下のCVE情報をご確認ください。