Podatności MariaDB

W serwerze MariaDB prefiks #mysql50# pozwala obejść normalne kodowanie nazw tabel w systemie plików. Atakujący może użyć nazwy tabeli z prefiksem #mysql50#, aby uzyskać dostęp do plików pod ich starszą, niezakodowaną nazwą, co może powodować awarie, uszkodzenie danych, eksfiltrację danych lub zdalne wykonanie kodu. Problem dotyczy wersji od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2.

W serwerze MariaDB obsługa SYS_REFCURSOR jest podatna na problem, ponieważ realokacja tablicy kursorów może pozostawić nieaktualne referencje w kontekstach procedur. Atakujący z niskimi uprawnieniami może otworzyć dużą liczbę SYS_REFCURSOR, a następnie pobrać jeden z nich, wywołując use-after-free, co w połączeniu z inną podatnością może umożliwić zdalne wykonanie kodu. Problem dotyczy wersji od 12.3.1 do 12.3.3 i 13.0.2.

W serwerze MariaDB funkcja ST_AsText może zapisywać poza zaalokowanym buforem wyjściowym podczas konwersji głęboko zagnieżdżonych GeometryCollections, ponieważ rekurencyjna serializacja WKT nie uwzględnia zużytych bajtów ani nie rezerwuje wystarczającej ilości miejsca. Zdalny atakujący z niskimi uprawnieniami może przesłać specjalnie spreparowany obiekt GIS, aby uszkodzić pamięć i potencjalnie osiągnąć wykonanie kodu w połączeniu z inną podatnością. Problem dotyczy wersji od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2.

Podatność w MariaDB (wersje 3.3.18 i 3.4.8) umożliwiająca wstrzyknięcie SQL pomimo użycia mysql_real_escape_string() z zestawem znaków big5. Naprawione w wersjach 3.3.19 i 3.4.9.

Podatność w MariaDB na Windows z zainstalowanym silnikiem CONNECT i włączoną obsługą REST pozwala na wstrzyknięcie atrybutu HTTP tabeli do linii poleceń curl bez odpowiedniego oczyszczania. Umożliwia to użytkownikowi wykonanie dowolnych poleceń systemowych na serwerze.

W MariaDB w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 instrukcja GRANT PROXY traktuje klauzulę IDENTIFIED z pustym hasłem tak, jakby uwierzytelnianie nie zostało podane, sprawdzając niewłaściwe uprawnienia grantora. Nisko uprzywilejowany atakujący mogący wskazać inne konto może ustawić jego hasło.

W MariaDB polecenia SHOW CREATE SERVER, SHOW CREATE USER oraz mariadb-dump nie cytują spójnie identyfikatorów i wartości podczas serializacji SQL. Niskouprzywilejowany atakujący może utworzyć obiekt ze spreparowanymi identyfikatorami lub wartościami, a następnie doprowadzić do wykonania wstrzykniętego SQL, gdy zatrute dane wyjściowe zostaną zastosowane.

W MariaDB od wersji 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 funkcje UDF dostępu do plików wtyczki silnika CONNECT (json_file(), bson_file(), jfile_make(), bfile_make(), jbin_file()) nie egzekwują uprawnienia FILE ani ustawienia secure_file_priv. Niskouprzywilejowany atakujący może wywołać taką funkcję ze ścieżką systemu plików i odczytać lub zapisać pliki, do których konto bazy danych nie ma uprawnień.

W MariaDB od wersji 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 funkcja ST_Area odczytuje dane poza przydzielonym buforem podczas przetwarzania nieprawidłowego WKB dla MultiPolygon, ponieważ parser przechodzi po nagłówku zagnieżdżonej geometrii bez weryfikacji pozostałego wejścia. Niskouprzywilejowany zdalny atakujący może dostarczyć złośliwe dane przestrzenne, aby ujawnić pamięć przydatną do obejścia ASLR.

MariaDB od wersji 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2, parser FRM widoków niebezpiecznie kodował znaki nowej linii w nazwie użytkownika. Konto z uprawnieniami CREATE USER i CREATE VIEW WITH GRANT OPTION mogło utworzyć spreparowaną nazwę użytkownika zawierającą dodatkowe metadane widoku, co mogło prowadzić do eskalacji uprawnień.

MariaDB, serwer baz danych, w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2, ma podatność w pamięci podręcznej ACL, która może generować ten sam klucz pamięci podręcznej uprawnień bazy danych dla nazw ról i użytkowników localhost, które pasowały, ponieważ oba używały pustego składnika IP. Atakujący z uprawnieniem CREATE USER może utworzyć kolidujący podmiot i, gdy uprawnienia bazy danych oryginalnego podmiotu były w pamięci podręcznej, wykonywać uprawnienia przypisane do innego konta. Problem został naprawiony w wersjach 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2.

MariaDB od wersji 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2, niewystarczająco weryfikował liczniki, offsety, długości i granice pól w metadanych FRM podczas otwierania binarnych plików FRM. Atakujący, który może umieścić spreparowany plik FRM w katalogu danych, może wywołać odczyty lub zapisy poza zakresem, awarię serwera lub potencjalnie wykonać kod.

MariaDB od wersji 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2, jednostka mariadb.service używała /run/mysqld/wsrep-new-cluster podczas następnego restartu usługi. Użytkownik bazy danych z uprawnieniem FILE i konfiguracją secure-file-priv umożliwiającą zapis do /run/mysqld mógł utworzyć ten plik i wstrzyknąć kontrolowane przez atakującego wartości środowiskowe do zrestartowanej usługi.

Podatność w serwerze MariaDB pozwala użytkownikowi z wysokimi uprawnieniami na wykonanie poleceń powłoki poprzez zmienne systemowe wsrep_sst_receive_address lub wsrep_sst_donor. Problem dotyczy wersji od 10.6.1 do 10.6.27, 10.11.1 do 10.11.18, 11.4.1 do 11.4.12, 11.8.1 do 11.8.8 oraz 12.3.1.

Podatność w MariaDB pozwala złośliwemu węzłowi dołączającemu (joiner) na wykonanie dowolnych poleceń powłoki na węźle źródłowym (donor) podczas procesu SST (State Snapshot Transfer) z użyciem metody rsync. Problem wynika z braku odpowiedniej walidacji parametrów przesyłanych przez joiner, które są interpolowane do linii poleceń po stronie donora.

Podatność w MariaDB pozwala na wykonanie SELECT ... INTO OUTFILE i SELECT ... INTO DUMPFILE bez wymaganego uprawnienia FILE, jeśli klauzula FROM zawiera tylko podzapytania. Problem dotyczy wersji od 10.6.1 do 10.6.26, 10.11.1 do 10.11.17, 11.4.1 do 11.4.11, 11.8.1 do 11.8.7 oraz 12.3.1.

Podatność w MariaDB pozwala złośliwemu węzłowi dołączającemu (joiner) na wykonanie dowolnych poleceń powłoki na węźle źródłowym (donor) podczas procesu SST (Snapshot State Transfer) z użyciem metody mariabackup. Problem wynika z braku odpowiedniej walidacji parametrów przesyłanych przez joiner, które są interpolowane do linii poleceń po stronie donora.

W serwerze MariaDB do wersji 11.8.5, gdy wtyczka audytu serwera jest włączona, a zmienna server_audit_events skonfigurowana z filtrowaniem QUERY_DCL, QUERY_DDL lub QUERY_DML, uwierzytelniony użytkownik bazy danych może wywołać instrukcję SQL poprzedzoną komentarzami w stylu podwójnego myślnika (--) lub hasha (#), która nie zostanie zarejestrowana.