CVE-2026-107382 in Connector Node.js
요약
\~에 의해 VulDB • 2026. 10. 08.
MariaDB Connector/Node.js는 Node.js로 개발된 애플리케이션을 MariaDB 및 MySQL 데이터베이스에 연결하는 데 사용됩니다. 버전 3.3.0부터 3.5.4까지, 제로 구성 TLS 지문 검증 경로는 Authentication.validateFingerPrint를 통해 Ed25519PasswordAuth.hash()를 호출하지만, Ed25519PasswordAuth.hash()는 범위에 없는 시드 식별자를 참조합니다. 이 취약점을 노출시키기 위해서는 TCP를 통해 도달 가능한 MariaDB 서버가 필요하며, ssl: true 또는 rejectUnauthorized 값이 false가 아닌 ssl 객체를 사용하여 TLS가 활성화되어 있고, 비밀번호가 설정되어 있으며, ssl.ca가 구성되어 있지 않고 client_ed25519가 인증 플러그인으로 협상되어야 합니다. 이러한 조건 하에서 정당한 서버, 악의적인 서버 또는 자기 서명된 지문서를 제시하는 네트워크 공격자가 이 경로에 도달하여 소켓 데이터 핸들러 밖으로 동기식 ReferenceError를 발생시킬 수 있습니다. Node.js의 기본 미처리 예외 동작에 따라 클라이언트 프로세스가 종료되어 서비스 거부(Denial of Service)가 발생합니다. 제공된 CA 사용, rejectUnauthorized: false 설정, 다른 인증 플러그인 사용 또는 Unix 소켓을 사용하는 구성은 이 취약한 경로에 도달하지 않습니다. 이 문제는 버전 3.5.4에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.