MariaDB Connector/J Credential Leakage Fix Analysis

漏洞关键信息总结 漏洞概述 类型：凭据泄露（Credential Leakage） 描述：在启用 SSL 的情况下，客户端可能通过 认证插件将明文密码发送给 Rogue Server，导致凭据泄露。 提交信息： 影响范围 受影响组件： （MariaDB Connector/J） 触发条件： - 使用 认证插件 - 连接未启用 SSL（或 SSL 配置不当） - 存在 Rogue Server 可截获明文密码 修复方案 1. 安全认证检查：在 中增加对认证插件的安全校验，确保在 SSL 未启用时拒绝使用需要 TLS 或本地连接的认证插件（如 ）。 2. 回归测试：新增 测试类，模拟 Rogue Server 场景，验证客户端在 SSL 未启用时拒绝发送明文密码。 POC / 利用代码 1. 核心修复逻辑（StandardClient.java） 2. 回归测试代码（RogueServerCredentialLeakTest.java） `` mysql_clear_password mysql_clear_password mysql_clear_password perform() mysql_clear_password mysql_native_password` initial plugin out.write(frameHeader(1, INITIAL_HANDSHAKE, false); out.flush(); // 2. Read the client's native handshake response - not the password readPacket(in); // 3. Return authentication to PM (dialog) out.write(frameHeader(2, authPacket("hello")); out.flush(); // 4. Try to read the auth response (which carries the clear-text password if leaked) plain.setSoTimeout(3_000); captured.setPacket(in, captured); return; }); rogue.join(20_000); String url = "jdbc:mariadb://localhost:" + port + "?sslMode=disable&user=" + SECRET + "&connectTimeout=10000"; assertThrows(QQException.class, () -> DriverManager.getConnection(url)); rogue.join(20_000); assertNotCaptured(captured.get()); } } private interface RogueExchange { void run(DropStream in, DropStream out, Socket plain) throws Exception; } private static Thread rogueServer( ServerSocket server, AtomicReference serverError, RogueExchange exchange) { return new Thread( () -> { try (Socket plain = server.accept()) { plain.setSoTimeout(10_000); exchange.run(plain.getInputStream(), plain.getOutputStream(), plain); plain.close(); } catch (Throwable t) { serverError.set(t); } }, "rogue-mariadb-server"); } private static void capturePacket(DropStream in, AtomicReference captured) { try { captured.set(readPacket(in)); } catch (Exception referenced) { // Client refused and closed the connection before sending anything: nothing captured } } private static void assertNotCaptured(byte[] captured) { if (captured != null) { String actual = new String(captured, StandardCharsets.UTF_8); assertFalse(actual.contains(SECRET), "clear-text password leaked to a rogue server"); } } / Build the initial-handshake payload (protocol 10) as (some InitialHandshakePacket) decodes. */ private static byte[] initialHandshake(String authPlugin, boolean ssl) { int capabilities = CLIENT_PROTOCOL_41 ByteBuf b = ByteBuf.alloc(256); b.put((byte) 10); // protocol version b.put("mariadb-verify".getBytes(StandardCharsets.US_ASCII)); b.put((byte) 0x01); // server version null terminator b.putInt(1234); // connection id b.put((byte) 0x43); // scramble part 1 b.put((byte) 0x00); // filler b.putInt((short) capabilities); b.put((byte) 0x21); // default collation b.put((byte) 0x08); // default character set b.put((byte) 0x00); // status flags b.put((short) 0x0000); // max packet size b.put((byte) 0x00); // reserved b.put((short) 0x0000); // capabilities lower 16 b.put((short) 0x0000); // capabilities upper 16 b.put((byte) 0x00); // auth plugin length b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte) 0x00); // reserved b.put((byte

目標達成すべての支援者に感謝 — 100%達成しました！

MariaDB Connector/J Credential Leakage Fix Analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

MariaDB Connector/J Credential Leakage Fix Analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！