CVE-2026-75092

W aktorze scan_mysql programu jump-upgrade-el9toel10 (dostarczanego przez repozytorium jump) odkryto błąd związany z eskalacją uprawnień. Podczas aktualizacji RHEL 9 do RHEL 10 aktor uruchamia:
mysqld --validate-config --log-error-verbosity=2 bezpośrednio jako root w kontekście aktora Leapp, z pominięciem spakowanej jednostki systemowej MySQL, która zwykle uruchamia demona jako User=mysql.

Proces zagrożony jako tożsamość systemu operacyjnego mysql może zapisać utrwaloną konfigurację w wersji 2 (mysqld-auto.cnf) i złośliwy obiekt współdzielony do /var/lib/mysql (katalog należący do mysql). Ta utrwalona mapa może ustawić katalog wtyczki na /var/lib/mysql i Early_plugin_load (lub powiązane opcje modułu ładującego, takie jak plugin_load / plugin_load_add), aby MySQL ładował obiekt kontrolowany przez atakującego podczas sprawdzania konfiguracji. Ładowanie wtyczki może dotrzeć do dlopen() przed sprawdzeniem użytkownika w czasie wykonywania MySQL i przed sprawdzeniem symbolu wtyczki.

Gdy administrator następnie uruchomi udokumentowany przepływ pracy przed aktualizacją lub aktualizacją Leapp, kod kontrolowany przez osobę atakującą może zostać wykonany jako UID 0 z pełnymi możliwościami ustawionymi w nieograniczonej domenie SELinux (unconfined_t). Atak nie wymaga dostępu do zapisu w domyślnej ścieżce wtyczki systemowej w katalogu /usr; wystarczające jest przekierowanie katalogu wtyczki przez utrwalony stan należący do mysql. Same zwykłe uprawnienia SQL (w tym wysoce uprzywilejowane konta SQL) nie są wystarczającym punktem wyjścia — wykonanie na poziomie systemu operacyjnego, ponieważ wymagana jest tożsamość usługi mysql, a także późniejsze wywołanie Leapp przez administratora.