CVE-2026-48773: ProxySQL: Escrita Fora de Limites Pré-Autenticação nos Protocolos MySQL e PostgreSQL

Visão geral

O ProxySQL é um proxy para MySQL, seus forks e PostgreSQL. De acordo com o GitHub Security Advisory referenciado no registro, as versões de 2.0.18 até 3.0.8 contêm uma corrupção de memória heap pré-autenticação nos caminhos de primeira leitura dos protocolos MySQL e PostgreSQL. A classificação no NVD é escrita fora de limites (CWE-787).

Impacto

O registro indica que um cliente remoto e não autenticado pode acionar a condição ao declarar um tamanho excessivo para o primeiro pacote. O vetor CVSS 3.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H corresponde a uma pontuação base crítica de 9.8 no registro, o que indica alto impacto potencial na confidencialidade, integridade e disponibilidade. As consequências concretas em cada ambiente não são descritas nas fontes e dependem da configuração.

Produtos e versões afetadas

Produto nos dados do CNA: Proxysql Proxysql.
Faixa afetada registrada: 2.0.18 ou superior e anterior a 3.0.9.
Correção: 3.0.9, conforme indicado no registro e na referência de lançamento.
O registro não informa se versões anteriores a 2.0.18 são afetadas.

Status de exploração

O registro mostra que este CVE não consta no catálogo KEV da CISA, portanto o KEV não reporta exploração ativa. A referência do GitHub está marcada como Exploit na lista de referências, mas o registro não traz detalhes de exploração. Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Atualize o ProxySQL para a versão 3.0.9 ou superior. Esta é a correção identificada no registro.
Se a atualização não for possível de imediato, revise as orientações de mitigação no GitHub Security Advisory. O registro não descreve o conteúdo dessas orientações.
Restrinja o alcance de rede às portas de escuta do ProxySQL a hosts de aplicação confiáveis e redes administrativas. Este reforço geral reduz a exposição, mas não substitui a atualização.
Faça o inventário de todas as instâncias do ProxySQL, incluindo forks e contêineres, para identificar as que estão na faixa afetada.

Orientações para detecção

Revise os logs e a saúde do serviço do ProxySQL em busca de falhas inesperadas, reinicializações ou erros de memória nas instâncias expostas.
Quando houver monitoramento de rede, observe conexões anômalas às portas do ProxySQL, incluindo pacotes iniciais incomumente grandes vindos de origens não confiáveis.
Mantenha o inventário de versões atualizado para identificar rapidamente qualquer instância ainda na faixa afetada.

Limitações das informações disponíveis

O registro não contém análise de exploração, detalhes de prova de conceito nem dados de ataques observados, e nada desse tipo é fornecido aqui.
O registro não traz pontuação EPSS nem decisão SSVC, portanto a probabilidade de exploração é desconhecida.
O registro não descreve o conteúdo das orientações de mitigação nem se outras versões além de 3.0.9 recebem correções separadas.
O título estava ausente no registro de origem e foi definido por esta análise.

Perguntas frequentes

Esta vulnerabilidade está sendo explorada ativamente?

O registro não a lista no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Acompanhe os avisos oficiais para eventuais mudanças.

Qual versão corrige o problema?

O registro indica que a versão 3.0.9 corrige o problema. A atualização para a 3.0.9 ou superior é a ação identificada nas fontes.

Qual é a severidade?

O registro no NVD mostra pontuação base CVSS 3.1 de 9.8, classificada como crítica, com vetor de rede e sem necessidade de privilégios ou interação do usuário.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.