MariaDB Server: Unsicheres Home-Verzeichnis des mysql-Kontos in RPM-Paketen

Zusammenfassung

MariaDB-RPM-Pakete legten das Dienstkonto mysql mit dem Datenverzeichnis der Datenbank als Home-Verzeichnis an. Ein Datenbankbenutzer mit dem FILE-Privileg kann in diesem Verzeichnis Startdateien wie .bash_profile ablegen, die ausgeführt werden, wenn ein Administrator eine Login-Shell für das Konto mysql öffnet. Debian- und Ubuntu-Pakete sind nicht betroffen, da sie /nonexistent als Home-Verzeichnis verwenden. Der Angriff setzt einen authentifizierten Datenbankbenutzer mit dem FILE-Privileg und eine Aktion eines Administrators voraus, weshalb die Lücke lokal ist und nicht direkt über das Netzwerk erreichbar ist.

Betroffen

• MariaDB-Server-RPM-Pakete 10.6.1 bis 10.6.27
• MariaDB-Server-RPM-Pakete 10.11.1 bis 10.11.18
• MariaDB-Server-RPM-Pakete 11.4.1 bis 11.4.12
• MariaDB-Server-RPM-Pakete 11.8.1 bis 11.8.8
• MariaDB-Server-RPM-Pakete 12.3.1 bis 12.3.2
• MariaDB-Server-RPM-Pakete 13.0.1
• Debian- und Ubuntu-Pakete sind nicht betroffen

Behoben in

• 10.6.28
• 10.11.19
• 11.4.13
• 11.8.9
• 12.3.3
• 13.0.2
• Das Update setzt zudem das Home-Verzeichnis des bestehenden Kontos mysql zurück.

Umgehung

• Home-Verzeichnis des Benutzers mysql auf einen Pfad setzen, in den mariadbd nicht schreiben kann, zum Beispiel: usermod -d /nonexistent mysql
• Anzahl der Konten mit dem FILE-Privileg reduzieren (eigene Schlussfolgerung, keine Empfehlung des Herstellers).

Ausnutzung

• CISA SSVC: Exploitation none, automatable no, technische Auswirkung total.
• Kein Nachweis einer Ausnutzung in freier Wildbahn gefunden. CISA KEV nicht direkt geprüft.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• RPM-basierte MariaDB-Installationen auf die korrigierte Version des jeweiligen Zweigs aktualisieren.
• Konten mit dem FILE-Privileg prüfen und das Privileg entfernen, wo es nicht benötigt wird.
• Nach dem Patchen das Home-Verzeichnis mit getent passwd mysql prüfen.
• Einschränken, wer eine Login-Shell als Konto mysql öffnen kann.
• Betroffene RPM-Systeme im nächsten Patch-Zyklus priorisieren; Debian- und Ubuntu-Systeme benötigen für diese Lücke keine Massnahme.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-m5gf-432r-g5jw github.com
• Fix commit d842d6e github.com
• MariaDB 11.4.13 release notes mariadb.com
• MariaDB 10.6.28 release github.com
• MariaDB 10.11.19 release github.com
• MariaDB 11.8.9 release github.com
• Amazon Linux ALAS advisory explore.alas.aws.amazon.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:41.