CVE-2023-39593: podatność w funkcji sys_exec MariaDB

Co wiadomo

W MariaDB w wersji 10.5 funkcja sys_exec posiada nieodpowiednie uprawnienia, co umożliwia uwierzytelnionym użytkownikom wykonanie dowolnych poleceń z podwyższonymi uprawnieniami. MariaDB Foundation kwestionuje jednak ten problem, wskazując, że nie dochodzi do przekroczenia granicy uprawnień.

Wpływ biznesowy

Podatność może pozwolić atakującym z dostępem do bazy na wykonanie nieautoryzowanych poleceń, co może prowadzić do naruszenia integralności i bezpieczeństwa systemu. W środowiskach produkcyjnych korzystających z MariaDB 10.5 zaleca się ocenę ryzyka i monitorowanie aktywności użytkowników, zwłaszcza tych z uprawnieniami do funkcji sys_exec.

Rekomendowane działania administratora

Zaleca się przejrzenie dostępnych aktualizacji i łatek od dostawcy MariaDB oraz ograniczenie dostępu do funkcji sys_exec tylko do zaufanych użytkowników. Warto również monitorować logi systemowe pod kątem nietypowych działań oraz rozważyć ograniczenie uprawnień użytkowników bazy danych. W przypadku braku oficjalnej poprawki należy stosować środki minimalizujące ekspozycję i priorytetyzować dalsze działania zabezpieczające.

Źródła

• NVD
• Reference
• Reference