CVE-2026-55215: Luka w MariaDB Connector/Node.js umożliwiająca wyciek hasła przy włączonym SSL bez przypiętego certyfikatu

Co wiadomo

MariaDB Connector/Node.js przed wersjami 3.3.3, 3.4.6 i 3.5.3 może wysłać poświadczenia przed zakończeniem weryfikacji odcisku palca certyfikatu, jeśli SSL jest włączony bez przypiętego certyfikatu CA lub serwera. Atakujący typu man-in-the-middle może wykorzystać ten błąd, aby przechwycić hasło do bazy danych, mimo że połączenie zostanie później odrzucone.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko wycieku haseł do baz danych w środowiskach korzystających z MariaDB Connector/Node.js bez odpowiedniego przypięcia certyfikatów SSL. Może to prowadzić do nieautoryzowanego dostępu do baz danych, co zagraża integralności i poufności danych oraz stabilności usług biznesowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zweryfikowanie wersji MariaDB Connector/Node.js i aktualizację do wersji 3.3.3, 3.4.6 lub 3.5.3 bądź nowszej. W przypadku niemożności natychmiastowej aktualizacji, ogranicz ekspozycję połączeń bazodanowych, stosuj przypięcie certyfikatów SSL oraz monitoruj logi pod kątem podejrzanych prób uwierzytelniania. DataHouse wspiera w weryfikacji wersji i zarządzaniu aktualizacjami oraz pomaga w ograniczaniu ryzyka przez kontrolę dostępu i analizę logów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference