Проблема была обнаружена в Percona PMM до версии 3.7. Поскольку пользователь внутренней базы данных сохраняет определенные привилегии суперпользователя, злоумышленник с правами pmm-admin может злоупотребить функцией «Добавить источник данных», чтобы выйти из контекста базы данных и выполнить команды оболочки в базовой операционной системе.
Показать оригинальное описание (EN)
An issue was discovered in Percona PMM before 3.7. Because an internal database user retains specific superuser privileges, an attacker with pmm-admin rights can abuse the "Add data source" feature to break out of the database context and execute shell commands on the underlying operating system.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1