CVE-2026-55857 in Connector
Zusammenfassung
von VulDB • 29.08.2026
MariaDB Connector/J wird verwendet, um Anwendungen, die in Java entwickelt wurden, mit MariaDB- und MySQL-Datenbanken zu verbinden. Vor den Versionen 2.7.14, 3.3.5, 3.4.3 und 3.5.9 kann PAM-Dialogauthentifizierung dazu gezwungen werden, das Kontopasswort über eine unsichere Verbindung zu übertragen. Das Plugin mysql_clear_password ist hinter einem sicheren Transport geschützt, derSibling-PAM-Handler SendPamAuthPacketFactory (auf Serverseite als „dialog“ bezeichnet) gibt diese Anforderung jedoch nicht an und erbt den Standardwert für secure-required von false; ältere Zweige implementieren das gleiche betroffene Verhalten in SendPamAuthPacket. Ein böswilliger oder Man-in-the-Middle-Server kann eine Authentication Switch Request für dialog über plain TCP senden, was dazu führt, dass der Treiber das Benutzerpasswort im Klartext zurückgibt, wenn sslMode=DISABLE und restrictedAuth=null ist (was die Standardkonfiguration darstellt). Ordentlich verifiziertes TLS und lokale Unix-Sockets sind von diesem Transportvektor nicht betroffen. Dieses Problem wurde in den Versionen 2.7.14, 3.3.5, 3.4.3 und 3.5.9 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.