Leapp-repository: leapp-upgrade-el9toel10: leapp-upgrade-el9toel10: scan_mysql runs mysqld --validate-config as root and can load mysql-w…
Veröffentlicht
Was ist betroffen, was ist zu tun
In der Komponente scan_mysql des leapp-upgrade-el9toel10 (bereitgestellt durch leapp-repository) wurde eine Schwachstelle zur Rechteausweitung gefunden. Während der Upgrades von RHEL 9 zu RHEL 10 führt der Akteur folgenden Befehl aus: `mysqld --validate-config --log-error-verbosity=2` direkt als root im Leapp-Akteur-Kontext, wodurch die normalerweise verwendete systemd-Einheit von MySQL umgangen wird, die den Daemon als User=mysql startet.
Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten.
Metriken
—
Priorität
Für diese Schwachstelle liegt kein Wert vor.
—
CVSS v3
Für diese Schwachstelle liegt kein Wert vor.
—
EPSS-Score
Für diese Schwachstelle liegt kein Wert vor.
Alle Metriken anzeigen
- Schweregrad
- Ohne Bewertung
Priority-Score
Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?
Im Glossar lesen- 29.81
Exploit-Reife
Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.
Im Glossar lesen- kein öffentlicher PoC bekannt
KEV-Status
Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.
Im Glossar lesen- —
- Veröffentlicht
Einordnung nach NIS2 und CRA
Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.
NIS2
NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.
Im Glossar lesen- Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.
CRA
Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.
Im Glossar lesen- Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.
ISO/IEC 27001
ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.
Im Glossar lesen- Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.
Beschreibung
In der Komponente scan_mysql des leapp-upgrade-el9toel10 (bereitgestellt durch leapp-repository) wurde eine Schwachstelle zur Rechteausweitung gefunden. Während der Upgrades von RHEL 9 zu RHEL 10 führt der Akteur folgenden Befehl aus: `mysqld --validate-config --log-error-verbosity=2` direkt als root im Leapp-Akteur-Kontext, wodurch die normalerweise verwendete systemd-Einheit von MySQL umgangen wird, die den Daemon als User=mysql startet. Ein Prozess, der als mysql-OS-Identität kompromittiert wurde, kann eine persistente Konfiguration der Version 2 (mysqld-auto.cnf) und eine bösartige geteilte Bibliothek in /var/lib/mysql (ein Verzeichnis, das mysql gehört) schreiben. Diese persistente Zuordnung kann plugin_dir auf /var/lib/mysql setzen und early_plugin_load (oder ähnliche Laderoptionen wie plugin_load / plugin_load_add), so dass MySQL die von dem Angreifer kontrollierte Bibliothek während der Konfigurationsvalidierung lädt. Das Laden von Plugins kann dlopen() erreichen, bevor die Laufzeit-User-Überprüfung von MySQL und die Plugin-Symbol-Validierung erfolgen. Wenn ein Administrator anschließend den dokumentierten Leapp Preupgrade- oder Upgrade-Ablauf ausführt, kann der von dem Angreifer kontrollierte Code als UID 0 mit einem vollständigen Fähigkeitensatz in einem unbeschränkten SELinux-Domain (unconfined_t) ausgeführt werden. Der Angriff erfordert keinen Schreibzugriff auf den Standard-System-Plugin-Pfad unter /usr; die Umleitung von plugin_dir über den mysql-eigenen persistierten Zustand ist ausreichend. Normale SQL-Rechte allein (einschließlich hoch privilegierter SQL-Konten) sind kein ausreichender Startpunkt — die Ausführung auf Betriebssystemebene als mysql-Dienstidentität ist erforderlich, plus die spätere Administrator-Aufruf von Leapp.
Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.