CVE-2026-102523: Escalation di Privilegi in MariaDB

CVE-2026-102523 è una falla di privilege escalation in MariaDB che risiede nel comando ALTER TABLE ... CONVERT ... PARTITION. La vulnerabilità colpisce MariaDB dalla versione 10.11.1 fino a 13.0. Il problema è che l'operazione non applica l'encoding corretto ai nomi di partizione forniti dall'utente prima di usarli nella costruzione del percorso filesystem, consentendo a utenti autenticati di manipolare il filesystem e accedere a file di tabella per i quali non hanno autorizzazione.

La gravità è CVSS 8,0, classificata come HIGH. La vulnerabilità richiede autenticazione al database ma non richiede privilegi iniziali elevati: qualsiasi utente DB può sfruttarla per leggere o modificare dati di altre tabelle. Il CVE è stato pubblicato su NVD il 2026-11-05. Nei giorni successivi, segnali su social media hanno confermato la consapevolezza della falla nel settore. Le versioni patchate sono disponibili da subito.

I team di amministrazione database devono: 1) Effettuare un audit degli utenti con privilegi ALTER TABLE e applicare il principio del minimo privilegio. 2) Pianificare l'upgrade alle versioni patchate (10.11.19, 11.4.13, 11.8.9, 12.3.3, 13.0.2) sulla timeline regolare di maintenance. 3) Monitorare i log del database per comandi ALTER TABLE CONVERT PARTITION e verificare se ci sono stati accessi sospetti tra partizioni. 4) Se non è possibile aggiornare immediatamente, limitare fortemente gli utenti che possono eseguire operazioni su partizioni.