Usuário SQL do MariaDB para Execução de Comandos do SO via Bugs de Memória Encadeados

O relatório mostra como duas falhas de segurança de memória no MariaDB podem ser encadeadas por um usuário comum de banco de dados para executar comandos do sistema operacional como o processo mariadbd por meio de uma única sessão SQL TCP.

O primeiro bug no SYS_REFCURSOR cria uma condição de use-after-free durante o FETCH, permitindo o controle de uma chamada virtual. O segundo, no ST_Area, fornece uma leitura fora dos limites por meio de um MULTIPOLYGON criado, vazando endereços base do heap e do mariadbd apesar de ASLR e PIE.

A cadeia modifica o Security_context::master_access da sessão para conceder FILE, permitindo a execução de comandos baseada em UDF. Se o diretório de plugins não for gravável, uma cadeia de chamadas alternativa alcança execlp("/bin/sh", ...). O PoC funcionou contra mariadb:13.0.1-rc com ASLR, PIE e Full RELRO habilitados em aproximadamente metade das tentativas.

Relatório: https://hackerone.com/reports/3856148