CVE-2014-7210

Zbyt szerokie uprawnienia użytkownika MySQL w pdns (Debian)

CVSS 9.8v3.1pub. 2025-06-26upd. 2025-08-06

Pakiet pdns w Debian w wersjach przed 3.3.1-1 tworzy użytkownika MySQL z nadmiernie szerokimi uprawnieniami do bazy danych. Błąd w skryptach maintainera backendu MySQL może pozwolić atakującemu na nieuprawniony dostęp lub modyfikację danych DNS.

▸ Pokaż oryginał (EN)

pdns specific as packaged in Debian in version before 3.3.1-1 creates a too privileged MySQL user. It was discovered that the maintainer scripts of pdns-backend-mysql grant too wide database permissions for the pdns user. Other backends are not affected.

🤖 Analiza AI

Jak działa

Skrypty maintainera pakietu pdns-backend-mysql przyznają użytkownikowi bazy danych pdns zbyt szerokie uprawnienia do bazy MySQL — szersze niż wymagane do normalnej pracy serwera DNS. Oznacza to, że w przypadku przejęcia konta użytkownika pdns lub aplikacji korzystającej z tych uprawnień, atakujący uzyskuje dostęp do zasobów bazy danych wykraczający poza niezbędne minimum. Problem dotyczy wyłącznie backendu MySQL; inne backendy nie są podatne.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do bazy danych MySQL z nadmiernymi uprawnieniami, co umożliwia odczyt, modyfikację lub usunięcie danych DNS, a potencjalnie także innych danych przechowywanych w bazie.

Mitygacja

Należy zaktualizować pakiet pdns do wersji 3.3.1-1 lub nowszej w ramach dystrybucji Debian. Zaleca się również ręczne zweryfikowanie i ograniczenie uprawnień użytkownika MySQL pdns do niezbędnego minimum (zasada najmniejszych uprawnień). Szczegóły dostępne w referencjach producenta oraz ogłoszeniu Debian LTS.

Kogo dotyczy

Pakiet pdns (pdns-backend-mysql) w dystrybucji Debian w wersjach przed 3.3.1-1. Inne backendy nie są podatne.

Uwagi

Podatność została ujawniona publicznie w maju 2016 roku poprzez ogłoszenie Debian LTS (debian-lts-announce), mimo że CVE zostało opublikowane formalnie w 2025 roku. Poprawka dostępna w repozytorium Salsa Debian pod wskazanym commitem.