Aller au contenu

Linux Faille Critique 9,9

MariaDB : 13 failles de sécurité, Debian 12 et 13 pas encore corrigées (CVSS jusqu'à 9,9)

Treize CVE publiées le 16 octobre touchent le serveur MariaDB, dont un dépassement de tampon exploitable par un utilisateur peu privilégié (CVSS 9,9). Les versions amont corrigées existent, mais Debian 12 et 13 sont encore marquées vulnérables : restreignez les comptes SQL en attendant.

par Frédéric Vagner · publié le

Sévérité
Critique CVSS 9,9 / 10
CVE
CVE-2026-85746 CVE-2026-85745 CVE-2026-107815 CVE-2026-107821 CVE-2026-97380 CVE-2026-107823 CVE-2026-107822 CVE-2026-107818 CVE-2026-107817 CVE-2026-107816 CVE-2026-92262 CVE-2026-86047 CVE-2026-85985
Produits
DebianMariaDB / MySQLPlesk
Versions touchées
MariaDB 10.6 à 10.11, 11.4, 11.8, 12.3 et 13.0 avant les correctifs de la fiche ; Debian 12 : 1:10.11.19-0+deb12u1 ; Debian 13 : 1:11.8.6-0+deb13u1
Versions corrigées
Amont : 10.6.28, 11.4.13, 11.8.9, 12.3.3, 13.0.2 (10.11 : à confirmer). Debian 12 et 13 : en attente (aucun DSA/DLA) ; Debian testing/unstable : 1:11.8.9+ds
Correctif
Pas encore de correctif
Source
security-tracker.debian.org ↗

Qui est concerné ?

Tous les serveurs MariaDB des branches 10.6, 10.11, 11.4, 11.8, 12.3 et 13.0 qui n'ont pas reçu les versions de correction d'août 2026, y compris ceux installés par les paquets Debian (le security tracker les marque « vulnerable » au moment de la rédaction) et ceux utilisés par Plesk pour ses bases de données.

Les failles demandent presque toutes un compte SQL authentifié : l'exposition la plus forte concerne les hébergements mutualisés où des clients disposent de comptes MariaDB.

Risque

Les principales failles, d'après les avis amont (GitHub MariaDB) et les scores NVD relevés :

  • CVE-2026-85746 (CVSS 9,9) : ST_AsText écrit au-delà de son tampon avec des GeometryCollections très imbriquées ; un utilisateur peu privilégié peut l'exploiter à distance.
  • CVE-2026-107815 (CVSS 8,5) : moteur CONNECT, écriture d'un octet nul hors d'un tampon de pile, plantage et exécution de code possibles.
  • CVE-2026-97380 (CVSS 8,8) : GRANT PROXY avec mot de passe vide vérifie les mauvais privilèges, élévation de privilèges.
  • CVE-2026-107821 (CVSS 8,0) : fichier FRM malformé dans le répertoire de données, lecture/écriture hors limites.
  • CVE-2026-107823 (CVSS 7,2) : élévation de privilèges via un nom d'utilisateur contenant des retours à la ligne dans une vue.
  • Autres : CVE-2026-107822 (cache ACL), CVE-2026-107818 (unité systemd), CVE-2026-107817 (plugin mysql_json), CVE-2026-107816 (plugin qc_info), CVE-2026-92262, CVE-2026-86047, CVE-2026-85985 (CONNECT : accès fichiers sans privilège FILE) et CVE-2026-85745 (CVSS 4,3).

Aucune exploitation active n'est signalée : ces CVE ne figurent pas au catalogue CISA KEV. Les scores CVSS sont ceux du NVD (source GitHub), à confirmer pour les CVE sans score relevé.

Corriger

Debian 12 (bookworm) et Debian 13 (trixie) : au passage de cette veille, aucun DSA ni DLA n'est publié ; surveiller le tracker. Dès qu'une mise à jour est disponible :

apt update && apt install --only-upgrade mariadb-server mariadb-client
systemctl restart mariadb

Plesk : état à confirmer ; Plesk utilise le MariaDB du système ou du dépôt MariaDB. Si vous utilisez le dépôt officiel mariadb.org, passez à 10.11/11.4/11.8/12.3 dans leur dernière version.

Contournement

  • Désinstaller ou ne pas charger le moteur CONNECT et les plugins mysql_json et qc_info s'ils ne sont pas utilisés.
  • Refuser CREATE USER, FILE et GRANT OPTION aux comptes clients ; ne pas exposer le port 3306 à Internet.
  • Vérifier que secure_file_priv n'autorise pas l'écriture dans /run/mysqld.

Vérifier

mariadb --version
dpkg -l mariadb-server | tail -1
mariadb -e "SHOW PLUGINS" | grep -Ei "connect|mysql_json|qc_info"

À lire aussi