PMMのRCE脆弱性 - 早急な対応が必要
PMM 2.xおよびPMM 3.xの全てのインストールに影響を及ぼす重大なリモートコマンド実行（RCE）脆弱性を確認しました。この脆弱性により、PMM ClientノードへのCLIアクセスを持つユーザーまたは管理者レベルの権限を持つユーザーは、APIを悪用し、登録済みノード上で不正なコマンドを実行できるようになります。
影響を受けるインストール
この脆弱性は、PMM ClientノードがPMMサーバーに接続されている全てのPMM 2.xおよび3.xデプロイメントに影響します。このセキュリティ欠陥は、Percona Toolkitのコンポーネントであるpt-mysql-summaryツールに起因します。このツールは、PMMクライアントインストールからMySQLシステム情報と診断情報を自動的に収集します。
| 影響を受けるデプロイメント | バージョン | 注記 |
| PMM Clientノードが接続されている全てのPMMインストール | PMM 2.xおよびPMM 3.x | PMM Clientの設定時にデプロイされるpt-mysql-summaryツールによるリモートコマンド実行の脆弱性 |
修復オプション1：推奨：PMM3.3.1へのアップグレード
このリリースでは、脆弱性が直接修正され、全てのPMMデプロイメントにおける全体的なセキュリティが強化されます。アップグレードするためには：
- 中断を最小限に抑えるためにメンテナンスウィンドウをスケジュールします。
- 最新のPMMリリースをダウンロードします。
- PMMサーバーをアップグレードしてから、PMM Clientをアップグレードします。
- PMMが監視するサービスの全ての資格情報を変更します。これには、データベースユーザーアカウントや、PMMがインフラストラクチャに接続するために使用するその他の資格情報 (APIキー、SSHキーなど) が含まれます。
- アクセスログを徹底的にチェックし、不正アクセスの試みや不審なアクティビティがないか確認します。
修復オプション2：一時的な回避策：すぐにアップグレードできない場合
PMM 3.3.1にすぐにアップグレードできない場合は、リスクを軽減するために以下のいずれかの一時的な対策を実施してください。これらのオプションは、脆弱性を完全に排除するものではありません。できるだけ早くPMM 3.3.1へのアップグレードを優先して行ってください。
- PMMのインストールパスを確認します：
find /usr/local/percona -name "pt-mysql-summary" 2>/dev/null想定されるパス PMM 3.x デフォルト: /usr/local/percona/pmm/tools/pt-mysql-summary
PMM 2.x デフォルト: /usr/local/percona/pmm2/tools/pt-mysql-summary
カスタムインストール：別の場所にある場合があります - 以下の一時的な緩和策のいずれかを選択してください。上記のコマンドで返される実際のパスを使用してください：
・システム情報ツールをディスク上に保持しながら、脆弱なパス経由で実行されるのを防ぐために、pt-mysql-summaryスクリプトを実行不可にします：sudo chmod -x /<PMMインストールへのパス>/pt-mysql-summary・脆弱なツールをシステムから完全に削除するために、pt-mysql-summaryを削除します：
sudo rm -f /<PMMインストールへのパス>/pt-mysql-summary - PMMが監視するサービスの全ての資格情報を変更します。これには、データベースユーザーアカウントや、PMMがインフラストラクチャに接続するために使用するその他の資格情報 (APIキー、SSHキーなど) が含まれます。
- アクセスログを徹底的にチェックし、不正アクセスの試みや不審なアクティビティがないか確認します。
＜ダッシュボードへの影響＞
どちらの一時オプションも、MySQL Instance Summaryダッシュボードに影響します。pt-mysql-summaryはシステム情報を収集するため、このツールを無効化または削除すると、ダッシュボードからCPU、メモリ、ディスク、OSバージョン情報が削除されます。その他のパフォーマンスメトリックは引き続き正常に収集されます。
＜アップグレード時の動作＞
PMM 3.3.1（セキュリティ修正を含む）にアップグレードすると、pt-mysql-summaryツールは、以前に削除または無効化されていた場合でも、実行権限付きで自動的に復元されます。これは意図的かつ予想された動作であり、PMM 3.3.1にはパッチが適用された安全なバージョンのツールが付属しています。
Percona Monitoring and Management (PMM) 3.3.1 リリース情報（Percona社ウェブサイト）：
https://docs.percona.com/percona-monitoring-and-management/3/release-notes/3.3.1.html
Perconaサポート・コンサルティング
Perconaサポート・コンサルティングサービスはPercona Serverをご利用頂いているお客様が安心してお使い頂くために専門的なサポートを提供するサービスです。