CVE-2026-48772: ProxySQL: spoofing de cabeçalho PROXY permite bypass de roteamento e ACL por client_addr

Visão geral

O CVE-2026-48772 afeta o ProxySQL, um proxy para MySQL e seus forks, além de PostgreSQL. Segundo o aviso de segurança no GitHub, o frontend MySQL aceita um cabeçalho do protocolo PROXY cujo token UNKNOWN deveria fazer com que os campos de endereço seguintes fossem ignorados, mas o ProxySQL os interpreta e usa o endereço de origem declarado ao avaliar regras de consulta.

Impacto

Um peer de rede que alcance a porta do frontend pode influenciar o endereço de cliente visto pelas regras de consulta.
Regras baseadas em client_addr para separação de leitura e escrita, fixação de schema ou filtragem de consultas podem ser contornadas, o que pode direcionar tráfego a backends não previstos ou permitir consultas que deveriam ser bloqueadas.
A pontuação CVSS 3.1 base fornecida pelo provedor GitHub é 10, com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade, conforme a entrada no NVD.

Produtos e versões afetados

A descrição indica que as versões 2.0.0 até 3.0.8 são afetadas.
A faixa estruturada no registro é a partir de 2.0.0 e anterior a 3.0.9.
Por padrão, mysql-proxy_protocol_networks está em '*', o que aceita cabeçalhos PROXY de qualquer peer TCP.
O registro não informa se outras linhas mantidas receberão correções retroportadas.

Status de exploração

O registro não lista este CVE no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração ativa confirmada nas fontes consultadas para esta análise. Uma referência está marcada como 'Exploit' no registro, mas esta análise não trata essa marcação como evidência de exploração em campo.

Correção e mitigação

Atualize o ProxySQL para a versão 3.0.9, identificada no registro como release corrigida, conforme as notas de release.
Se a atualização não puder ocorrer imediatamente, restrinja quais redes podem alcançar a porta do frontend MySQL por meio de segmentação de rede e regras de firewall.
Limite a configuração de confiança no protocolo PROXY aos balanceadores ou proxies conhecidos que enviam legitimamente esses cabeçalhos, em vez de aceitar qualquer peer.
Não dependa apenas de regras client_addr para decisões de roteamento ou acesso críticas à segurança até que o sistema esteja corrigido.

Orientações de detecção

Revise os logs de conexão do frontend em busca de cabeçalhos PROXY vindos de peers que não são balanceadores conhecidos.
Compare os endereços de cliente registrados pelo ProxySQL com os endereços TCP de origem reais para identificar divergências.
Observe roteamentos inesperados ou acertos de regras associadas a faixas de endereços internas ou administrativas.

Limitações das informações disponíveis

O registro traz apenas uma pontuação CVSS, do provedor GitHub; não há pontuações de outros provedores.
Dados de EPSS e SSVC não estão disponíveis.
O nome da CWE está ausente, embora o identificador CWE-348 seja informado.
Versões corrigidas para ramos diferentes de 3.0.x não são informadas, e nenhuma mitigação verificada pelo fabricante é descrita além da correção.

Perguntas frequentes

O CVE-2026-48772 é explorado ativamente?

O registro não o lista no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.

Qual versão do ProxySQL corrige o problema?

O registro identifica a versão 3.0.9 como a release corrigida. Correções para outros ramos não são informadas no registro.

A configuração padrão aumenta a exposição?

Sim. O valor padrão '*' em mysql-proxy_protocol_networks aceita cabeçalhos PROXY de qualquer peer TCP, então restringir essa configuração a proxies confiáveis reduz a exposição.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.