CVE-2026-75092

WysokieCVSS 7.3

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 16/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

W aktorze scan_mysql pakietu leapp-upgrade-el9toel10 (dostarczanego przez leapp-repository) występuje luka pozwalająca na podniesienie uprawnień. Podczas aktualizacji RHEL 9 do RHEL 10 aktor uruchamia mysqld --validate-config --log-error-verbosity=2 bezpośrednio jako root, omijając jednostkę systemd MySQL, która normalnie uruchamia demona jako User=mysql. Proces przejęty jako tożsamość mysql może zapisać trwałą konfigurację (mysqld-auto.cnf) i złośliwą bibliotekę współdzieloną w /var/lib/mysql, ustawiając plugin_dir i early_plugin_load, aby MySQL załadował kontrolowany obiekt podczas walidacji konfiguracji. Gdy administrator uruchomi przepływ preupgrade lub upgrade Leapp, kod atakującego może wykonać się jako UID 0 z pełnym zestawem uprawnień w domenie SELinux unconfined_t.

Ocena ryzyka

Atakujący z możliwością wykonania kodu jako tożsamość mysql może, po uruchomieniu przez administratora przepływu Leapp, uzyskać wykonanie kodu jako root (UID 0) z pełnymi uprawnieniami. Wymaga to przejęcia procesu mysql oraz późniejszego uruchomienia Leapp przez administratora.

Rekomendacja

Zastosuj poprawkę dla leapp-repository, gdy będzie dostępna, oraz ogranicz możliwość zapisu do /var/lib/mysql przez procesy inne niż MySQL. Przed uruchomieniem Leapp zweryfikuj integralność plików konfiguracyjnych MySQL i bibliotek w /var/lib/mysql.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

A privilege escalation flaw was found in the scan_mysql actor of leapp-upgrade-el9toel10 (provided by leapp-repository). During RHEL 9 to RHEL 10 upgrades, the actor runs: mysqld --validate-config --log-error-verbosity=2 directly as root in the Leapp actor context, bypassing the packaged MySQL systemd unit that normally starts the daemon as User=mysql. A process compromised as the mysql OS identity can write a version-2 persisted configuration (mysqld-auto.cnf) and a malicious shared object into /var/lib/mysql (a directory owned by mysql). That persisted map can set plugin_dir to /var/lib/mysql and early_plugin_load (or related loader options such as plugin_load / plugin_load_add) so MySQL loads the attacker-controlled object during configuration validation. Plugin loading can reach dlopen() before MySQL’s runtime-user check and before plugin-symbol validation. When an administrator subsequently runs the documented Leapp preupgrade or upgrade workflow, attacker-controlled code can execute as UID 0 with a full capability set in an unconfined SELinux domain (unconfined_t). The attack does not require write access to the default system plugin path under /usr; redirecting plugin_dir via mysql-owned persisted state is sufficient. Ordinary SQL privileges alone (including highly privileged SQL accounts) are not a sufficient startpoint — OS-level execution as the mysql service identity is required, plus later administrator invocation of Leapp.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS