Vulnerabilidad en Charmed MySQL K8s (CVE-2025-24375)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-256 Almacenamiento de un contraseña en texto claro

Fecha de publicación:

09/04/2025

Última modificación:

11/04/2025

Descripción

El operador Charmed MySQL K8s es un operador Charmed para ejecutar MySQL en Kubernetes. Antes de la revisión 221, el método para llamar a un DDL de SQL o a scripts de MySQL-Shell basados en Python podían filtrar las credenciales de los usuarios de la base de datos. El método mysql-operator llama a la aplicación mysql-shell y se basa en escribir en un archivo de script temporal que contiene la URI completa, con el usuario y la contraseña. creado con permisos de lectura (0x644). En otros casos, al llamar al cli de mysql, para un caso específico al crear el operador users, el DDL contiene las credenciales de dicho usuario, las cuales pueden filtrarse a través del mismo mecanismo de un archivo temporal. Todas las versiones anteriores a la revisión 221 para Kubernetes y la revisión 338 para operadores de máquinas.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.00

Gravedad 3.x

MEDIA

Vulnerabilidad en Charmed MySQL K8s (CVE-2025-24375)

Descripción

Impacto

Referencias a soluciones, herramientas e información