CVE-2019-12301

Percona Server resetuje hasło root do pustej wartości podczas aktualizacji

CVSS 9.8v3.0pub. 2019-05-23upd. 2024-11-21

Pakiety Percona Server 5.6.44-85.0-1 dla systemów Debian i Ubuntu podczas aktualizacji resetowały hasło użytkownika root bazy danych do pustej wartości. Oznacza to, że każdy mający dostęp sieciowy do serwera mógł zalogować się jako root bez podawania hasła.

▸ Pokaż oryginał (EN)

The Percona Server 5.6.44-85.0-1 packages for Debian and Ubuntu suffered an issue where the server would reset the root password to a blank value upon an upgrade. This was fixed in 5.6.44-85.0-2.

🤖 Analiza AI

Jak działa

Podczas procesu aktualizacji pakietu Percona Server w wersji 5.6.44-85.0-1 na systemach Debian i Ubuntu skrypty instalacyjne (postinstall) nieprawidłowo obsługiwały hasło administratora bazy danych, nadpisując je pustym ciągiem znaków. W efekcie po zakończeniu aktualizacji konto root MySQL pozostawało niezabezpieczone — bez wymaganego uwierzytelnienia. Problem nie wynikał z błędu w silniku bazy danych, lecz z wadliwego skryptu pakietowego.

Skutki

Atakujący z dostępem sieciowym do portu bazy danych może zalogować się na konto root bez hasła, uzyskując pełną kontrolę nad serwerem bazodanowym, w tym możliwość odczytu, modyfikacji lub usunięcia wszystkich danych oraz wykonywania poleceń systemowych za pośrednictwem mechanizmów takich jak UDF.

Mitygacja

Należy niezwłocznie zaktualizować pakiet do wersji 5.6.44-85.0-2, w której błąd został naprawiony. Po aktualizacji bezwzględnie należy sprawdzić i ustawić silne hasło dla konta root bazy danych, a także przejrzeć logi dostępu w celu wykrycia ewentualnych nieautoryzowanych logowań.

Kogo dotyczy

Percona Server for MySQL w wersji 5.6.44-85.0-1 zainstalowany na systemach Debian i Ubuntu.

Uwagi

Poprawka została wydana w wersji 5.6.44-85.0-2. Problem dotyczył wyłącznie pakietów dla dystrybucji Debian i Ubuntu — nie dotknął innych platform. Administratorzy, którzy przeprowadzili aktualizację do wersji 5.6.44-85.0-1, powinni traktować hasło root jako potencjalnie skompromitowane.