Descripción
blueprintUE Self-Hosted Edition en versiones anteriores a la 4.3.7 contiene una configuración por defecto insegura en sus ejemplos de Docker Compose, que establece MYSQL_ALLOW_EMPTY_PASSWORD=yes en database.env y publica MariaDB en el puerto 3306. Un atacante no autenticado que pueda alcanzar el host Docker en el puerto 3306 puede iniciar sesión como root sin contraseña para leer, modificar o eliminar cuentas de usuario, blueprints y todas las bases de datos.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- blueprintue-self-hosted-edition Afectadas: 1.0.0 y anteriores a 4.3.7
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/blueprintue/blueprintue-self-hosted-edition/security/advis…
- Parchegithub.com/blueprintue/blueprintue-self-hosted-edition/commit/e6a6e1d…
- Parchegithub.com/blueprintue/blueprintue-self-hosted-edition/pull/270
- Referencia en github.comgithub.com/blueprintue/blueprintue-self-hosted-edition/releases/tag/v…
- Referencia en github.comgithub.com/blueprintue/blueprintue-self-hosted-edition/blob/v4.3.6/do…
- Referencia en github.comgithub.com/blueprintue/blueprintue-self-hosted-edition/blob/v4.3.6/do…
- Aviso de vulncheck.comvulncheck.com/advisories/blueprintue-self-hosted-edition-before-4.3.7…
Ver el texto original en inglés (CVE.org)
blueprintUE Self-Hosted Edition before 4.3.7 Empty MariaDB Root Password via Docker Compose
blueprintUE Self-Hosted Edition before 4.3.7 contains an insecure default configuration in its Docker Compose examples that sets MYSQL_ALLOW_EMPTY_PASSWORD=yes in database.env and publishes MariaDB on port 3306. Unauthenticated attackers reaching the Docker host on port 3306 can log in as root without a password to read, modify, or delete user accounts, blueprints, and all databases.