MariaDB Connector/Node.js: Cleartext Transmission of Sensitive Information and Insufficiently Protected Credentials in mariadb

MariaDB Connector/Node.js wird verwendet, um Anwendungen, die mit Node.js entwickelt wurden, mit MariaDB- und MySQL-Datenbanken zu verbinden. Vor Versionen 3.2.4, 3.3.3, 3.4.6 und 3.5.3 kann der MariaDB Connector/Node.js bei Verhandlungen über ein unsicheres Transportmittel im Rahmen der PAM-Dialogauthentifizierung ein Benutzerkonto-Passwort preisgeben. In `lib/cmd/handshake/auth/pam-password-auth.js` und `lib/cmd/handshake/authentication.js` fehlte das sichere-Transport-Gatter für die Verhaltensweise von SendPamAuthPacketFactory im serverseitigen Plugin-Dialog, das auf mysql_clear_password angewendet wird. Mit den Standardeinstellungen `sslMode=DISABLE` und `restrictedAuth=null` kann ein bösartiger oder mitlaufender Server eine Anfrage zum Authentifizierungsschalter für einen Dialog über unverschlüsseltes TCP senden, wodurch der Connector das Konto-Passwort im Klartext zurückgibt. Eine ordnungsgemäß verifizierte TLS und ein lokaler Unix-Socket verhindern diesen Pfad, während eine nur auf Fingerabdruck basierende Server-Identitätsvalidierung nicht ausreichend ist. Dieses Problem wird in den Versionen 3.2.4, 3.3.3, 3.4.6 und 3.5.3 behoben.