MySqlConnector : divulgation du mot de passe en mode TLS sans CA configurée

Veille sécuritéBackend & données

P4Moyenne

MySqlConnector peut transmettre le mot de passe de la base en clair à un intermédiaire malveillant avant de vérifier le certificat TLS, dans certaines configurations sans autorité de certification configurée. Le correctif est disponible en version 2.6.1 ; configurez `SslCa` avec `VerifyCA` ou `VerifyFull`, ou appliquez une autre mesure d’atténuation recommandée par l’avis.

IdentifiantAvis de sécurité

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif2.6.1

Source : GHSA-473q-m89c-ghf8 — MySqlConnector

Analyse technique

Le problème concerne `SslMode=VerifyCA` ou `VerifyFull` sans option `SslCa`, avec mot de passe non vide. Un attaquant en position d’intermédiaire peut présenter un certificat auto-signé et capturer le mot de passe avant le rejet de la connexion. Les connexions avec une CA configurée, locales ou avec mot de passe vide ne sont pas affectées selon l’avis.

Impact, versions et correctif

Événement datéAvis GitHub publié le 2026-10-28T19:49:44Z, dans la période demandée ; inclusion comme avis de sécurité sans CVE.

ImpactUn attaquant en position d’intermédiaire peut obtenir le mot de passe de base de données du client.

Versions affectéesMySqlConnector < 2.6.1

Version corrigée2.6.1

ContournementConfigurer `SslCa` avec `VerifyCA` ou `VerifyFull`, utiliser une connexion locale/Unix socket, ou éviter l’authentification en clair.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-28T19:49:44Z

Mise à jour2026-10-28T19:49:45Z

Action recommandée

Mettre à niveau vers MySqlConnector 2.6.1 ou ultérieur et, avec `VerifyCA`/`VerifyFull`, configurer `SslCa`.

Sources

GHSA-473q-m89c-ghf8 — MySqlConnector

Priorisation DFS : P4 · 1 source(s).