blueprintUEのDBがパスワードなしで開く脆弱性、修正版あり
Summary
blueprintUE Self-Hosted EditionのDocker Composeサンプルどおりに構築すると、MariaDBのrootがパスワードなしでネットワークから使える状態になります。該当する環境では4.3.7へ更新し、ポート3306の公開範囲とrootのパスワードを確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
blueprintUE Self-Hosted EditionのDocker Composeサンプルどおりに構築すると、MariaDBのrootがパスワードなしでネットワークから使える状態になります。該当する環境では4.3.7へ更新し、ポート3306の公開範囲とrootのパスワードを確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| blueprintueblueprintue-self-hosted-edition |
≥ 1.0.0, < 4.3.7→ 4.3.7 |
4.3.7 |
Original description The description as published by the source.
blueprintUE Self-Hosted Edition before 4.3.7 contains an insecure default configuration in its Docker Compose examples that sets MYSQL_ALLOW_EMPTY_PASSWORD=yes in database.env and publishes MariaDB on port 3306. Unauthenticated attackers reaching the Docker host on port 3306 can log in as root without a password to read, modify, or delete user accounts, blueprints, and all databases.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com