Katalog CVE
CVE-2015-7224
KrytyczneStreszczenie
Wersje puppetlabs-mysql od 3.1.0 do 3.6.0 umożliwiają zdalnym atakującym ominięcie uwierzytelniania poprzez stworzenie konta bazy danych bez hasła, gdy parametr 'mysql_user' zawiera hosta z maską sieciową.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do bazy danych bez autoryzacji, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji puppetlabs-mysql, aby zlikwidować tę podatność oraz wdrożenie silnych polityk haseł dla kont użytkowników.
Oryginalny opis (angielski, źródło NVD)
puppetlabs-mysql 3.1.0 through 3.6.0 allow remote attackers to bypass authentication by leveraging creation of a database account without a password when a 'mysql_user' user parameter contains a host with a netmask.