DB-GPT: Hartcodierte MySQL-Root-Zugangsdaten in der Standard-docker-compose.yml

Zusammenfassung

DB-GPT bis einschliesslich 0.8.2 enthält eine docker-compose.yml mit einem festen MySQL-Root-Passwort (aa123456), und der MySQL-Port 3306 wird auf allen Schnittstellen veröffentlicht. Ein Angreifer, der Port 3306 oder einen Container im gemeinsamen dbgptnet-Netzwerk erreichen kann, kann sich ohne weitere Authentifizierung als root@% anmelden und erhält vollen Zugriff auf alle Datenbanken, einschliesslich der Berechtigungen FILE und SUPER. Betroffen sind Installationen, die die Standarddatei ohne Änderungen verwenden.

Betroffen

• DB-GPT 0.8.2 und frühere Versionen (gemäss CVE-Eintrag: 0 bis 0.8.2)
• Standard-docker-compose.yml aus Commit 83609c4 (Tag v0.8.2)
• Spätere Versionen der docker-compose.yml auf main zeigen gemäss Recherche dasselbe Muster

Behoben in

Unbekannt. Für diese CVE wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden.

Umgehung

• Das statische MYSQL_ROOT_PASSWORD entfernen und generierte Geheimnisse oder dateibasierte Docker-Secrets verwenden
• Den ports-Eintrag für MySQL entfernen oder ihn auf 127.0.0.1 beschränken
• Die Datenbank nur im internen Docker-Netzwerk betreiben
• Den Webserver nicht als MySQL-Root betreiben; stattdessen einen Anwendungsbenutzer mit minimalen Rechten anlegen
• Passwörter rotieren, die mit der Standarddatei verwendet wurden

Ausnutzung

• Die CISA-SSVC-Bewertung im CVE-Eintrag nennt die Ausnutzung als poc und die Automatisierbarkeit als ja
• Gemäss Recherche ist kein öffentlicher Exploit bestätigt; VulDB gibt an, dass kein Exploit verfügbar ist
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; der KEV-Status ist nicht bestätigt
• Für die Ausnutzung genügt Netzwerkzugriff auf Port 3306 oder auf das gemeinsame Docker-Netzwerk

Unsere Empfehlung

• Prüfen, ob DB-GPT-Installationen die Standard-docker-compose.yml verwenden und ob Port 3306 auf einem Host oder einer öffentlichen Schnittstelle lauscht
• Das MySQL-Root-Passwort ändern und den statischen Wert aus allen Konfigurationen entfernen
• Die Veröffentlichung des MySQL-Ports auf dem Host entfernen oder mit Firewall-Regeln einschränken
• Einen dedizierten Datenbankbenutzer ohne Superuser-Rechte für die Anwendung anlegen
• Datenbankprotokolle und Daten auf unberechtigte Zugriffe prüfen, falls die Standardkonfiguration exponiert war

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record reference: DB-GPT docker-compose.yml at commit 83609c4 github.com
• Lasso vulnerability database: CVE-2026-77933 www.lasso.security
• VulnCheck advisory: DB-GPT hardcoded MySQL root credentials www.vulncheck.com
• VulDB: CVE-2026-77933 vuldb.com
• VulDB: vulnerability 422593 vuldb.com
• DB-GPT docker-compose.yml on main github.com
• Docker Compose: using secrets docs.docker.com
• DB-GPT releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:12.