CVE-2026-55215 in MariaDB Connector Node.js
요약
\~에 의해 VulDB • 2026. 08. 29.
MariaDB Connector/Node.js는 Node.js로 개발된 애플리케이션을 MariaDB 및 MySQL 데이터베이스에 연결하는 데 사용됩니다. 버전 3.3.3, 3.4.6 및 3.5.3 이전에서는 SSL이 활성화되어 있지만 고정된 CA 또는 서버 인증서가 없는 경우, MariaDB Connector/Node.js는 인증서 지문 검증 완료 전에 자격 증명을 전송합니다. lib/cmd/handshake/auth/handshake.js에서 mysql_clear_password를 초기 인증 플러그인으로 선택하는 서버는 TLS 후 ID 확인 이전에 비밀번호를 수신할 수 있습니다. 또한 lib/cmd/handshake/authentication.js에서는 인증 전환이 요청된 대상 플러그인 대신 이전 플러그인을 평가하여, mysql_clear_password가 자격 증명을 먼저 전송하도록 허용합니다. 중간자 공격(Man-in-the-Middle)을 수행하는 악의적인 주체는 자체 서명된 인증서를 제시하고 데이터베이스 비밀번호를 탈취한 후, 커넥터가 나중에 서버를 거부하고 연결을 종료함에도 불구하고 해당 비밀번호를 사용하여 직접 인증할 수 있습니다. 이 문제는 버전 3.3.3, 3.4.6 및 3.5.3에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.