DB-GPTの既定設定でMySQLが無防備に、修正版は未公表
Summary
DB-GPT 0.8.2 までの既定の docker-compose.yml は、MySQL の root パスワードを固定値にしたまま、3306 番ポートをすべてのネットワークインターフェースに公開します。到達できる相手は認証なしの手間だけで root として入れるため、既定の構成で動かしている組織は影響を受けます。まず 3306 番が外部から届かない状態かを確かめ、パスワードの変更と接続元の制限を行ってください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
DB-GPT 0.8.2 までの既定の docker-compose.yml は、MySQL の root パスワードを固定値にしたまま、3306 番ポートをすべてのネットワークインターフェースに公開します。到達できる相手は認証なしの手間だけで root として入れるため、既定の構成で動かしている組織は影響を受けます。まず 3306 番が外部から届かない状態かを確かめ、パスワードの変更と接続元の制限を行ってください。
Original description The description as published by the source.
DB-GPT through 0.8.2 contains a hardcoded credentials vulnerability in its default docker-compose.yml that sets a static MYSQL_ROOT_PASSWORD and publishes port 3306 on all interfaces. Attackers reaching port 3306 or the shared dbgptnet network can authenticate as root@% to gain full database access including FILE and SUPER privileges.
Source: NIST National Vulnerability Database NVD GitHub Advisory
References
- web github.com
- web lasso.security
- web vulncheck.com
- web nvd.nist.gov
- web github.com