CVE-2023-26785

MariaDB v10.5 — RCE przez UDF w plikach współdzielonych (disputed)

CVSS 9.8v3.1pub. 2024-10-17upd. 2025-07-10

W MariaDB v10.5 odkryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez załadowanie złośliwego kodu UDF (User Defined Function) z pliku współdzielonego (Shared Object File) w połączeniu z instrukcją 'create function'. Podatność jest kwestionowana przez MariaDB Foundation, która wskazuje, że nie dochodzi do przekroczenia granicy uprawnień.

▸ Pokaż oryginał (EN)

MariaDB v10.5 was discovered to contain a remote code execution (RCE) vulnerability via UDF Code in a Shared Object File, followed by a "create function" statement. NOTE: this is disputed by the MariaDB Foundation because no privilege boundary is crossed.

🤖 Analiza AI

Jak działa

Atakujący z dostępem do serwera MariaDB może umieścić złośliwy plik współdzielony (bibliotekę .so) zawierający kod UDF, a następnie zarejestrować go w bazie danych za pomocą polecenia 'CREATE FUNCTION'. Po wykonaniu tej funkcji złośliwy kod zostaje uruchomiony w kontekście procesu serwera bazodanowego. MariaDB Foundation podważa klasyfikację jako podatność, argumentując brakiem przekroczenia granicy uprawnień — co oznacza, że technika wymaga posiadania odpowiednich uprawnień w bazie danych.

Skutki

Atakujący może uzyskać zdalne wykonanie kodu (RCE) na serwerze hostującym MariaDB, potencjalnie przejmując pełną kontrolę nad systemem operacyjnym, w tym dostęp do poufnych danych oraz możliwość modyfikacji lub zniszczenia zasobów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Ze względu na sporny charakter podatności zaleca się stosowanie zasady najmniejszych uprawnień (least privilege) dla kont bazodanowych, ograniczenie możliwości ładowania zewnętrznych bibliotek UDF oraz restrykcyjną kontrolę dostępu do serwera MariaDB.

Kogo dotyczy

MariaDB w wersji 10.5

Uwagi

Podatność jest kwestionowana (disputed) przez MariaDB Foundation — organizacja stoi na stanowisku, że opisana technika nie przekracza granicy uprawnień i nie stanowi luki bezpieczeństwa w sensie formalnym. Referencje wskazują na publiczne PoC na GitHub oraz wpis na liście fulldisclosure z 2012 roku, co sugeruje że technika ta jest znana od wielu lat.