Dieci falle di sicurezza in MariaDB, tra cui CVE‑2026‑107815, richiedono patch immediate. Le recenti disposizioni legislative italiane sull’intelligenza artificiale rafforzano la responsabilità delle imprese nell’implementare misure di sicurezza, anche per i database che supportano sistemi AI ad alto rischio.
I manutentori di MariaDB hanno pubblicato un advisory che elenca dieci falle di sicurezza che colpiscono varie componenti del server di database, dai pacchetti Linux al connettore Connector/C. Le criticità sono state valutate come High (sei casi) e Moderate (quattro casi), senza alcuna vulnerabilità classificata come Critical. La maggior parte di esse interessa le versioni 10.6.1–10.6.27, 10.11.1–10.11.18, 11.4.1–11.4.12, 11.8.1–11.8.8, 12.3.1–12.3.2 e 13.0.1, con correzioni disponibili a partire da 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 e 13.0.2.
Questa falla, con punteggio CVSS 8.5, riguarda le tabelle DOS del motore di archiviazione CONNECT. Un attaccante può scrivere un byte nullo oltre un buffer nello stack in una posizione controllata, e in circostanze particolari può ottenere l’esecuzione di codice remoto. L’attacco richiede privilegi minimi e non è possibile sfruttarlo senza autenticazione.
Con un punteggio CVSS 8.0, la manipolazione di file di definizione delle tabelle binarie può causare crash, buffer overflow e, in alcuni scenari, esecuzione di codice remoto. Per sfruttare la falla l’attaccante deve possedere i privilegi FILE e una configurazione secure‑file‑priv che permetta l’accesso alla directory del database.
Entrambe le falle sono di livello Moderate. La prima riguarda il componente mysql_json, dove tabelle JSON binarie malformate possono provocare buffer overflow. La seconda, in qc_info, permette a query con byte nulli di causare letture oltre il buffer heap.
Con punteggio CVSS 8.4, questa vulnerabilità consente a un attaccante con privilegi FILE di creare file di avvio della shell che verranno eseguiti al login dell’utente ‘mysql’. I pacchetti Debian non sono interessati.
Un attaccante con privilegi FILE può creare il file /run/mysqld/wsrep‑new‑cluster se le restrizioni di scrittura lo permettono. Al successivo riavvio del servizio, il file di ambiente controllato dall’attaccante viene letto.
Queste due falle sfruttano collisioni tra nomi utente e ruoli nella cache di controllo degli accessi e metadati delle viste analizzati in modo improprio. Richiedono privilegi amministrativi; la seconda necessita anche di permessi CREATE VIEW con GRANT OPTION.
Questa vulnerabilità riguarda la codifica errata dei nomi delle partizioni per l’uso nel filesystem, aprendo la porta a letture o modifiche non autorizzate delle tabelle. Non interessa la serie 10.6 di MariaDB.
Le versioni 3.4.1–3.4.9 del connettore sono colpite da un attacco Man‑in‑the‑Middle che consente a un aggressore di presentare un certificato valido per un altro hostname e di abilitare l’autenticazione della password in chiaro. La correzione è disponibile a partire dalla versione 3.4.10.
Il D.Lgs. 9 settembre 2026, n. 160 introduce, in Italia, disposizioni specifiche per la governance dell’IA, completando la legge 23 settembre 2025, n. 132. Il decreto stabilisce, tra le altre cose, un nuovo articolo 437‑bis nel codice penale, che punisce l’omissione di misure di sicurezza nei sistemi di IA ad alto rischio e l’alterazione illecita di tali sistemi.
Le aziende che utilizzano MariaDB per gestire dati di sistemi AI ad alto rischio (es. credit scoring, selezione del personale, sistemi di sicurezza) devono ora garantire non solo la sicurezza tecnica del database ma anche la conformità alle nuove norme. La legge impone:
Il nuovo quadro legislativo introduce la presunzione del nesso causale tra l’uso di sistemi IA e i danni subiti. Se un attacco sfrutta una vulnerabilità di MariaDB per compromettere un sistema AI, l’azienda potrebbe essere ritenuta responsabile sia per danni civili che per reati penali, in base all’art. 437‑bis.
Le dieci vulnerabilità di MariaDB rappresentano un rischio significativo per le organizzazioni che gestiscono dati sensibili, soprattutto in contesti AI ad alto rischio. L’entrata in vigore del D.Lgs. 160/2026 rafforza la responsabilità delle imprese nell’implementare misure di sicurezza, trasformando la conformità tecnica in un requisito legale. Aggiornare tempestivamente i sistemi, limitare i privilegi e monitorare costantemente le attività di database sono passi fondamentali per mitigare i rischi e rispettare la nuova normativa.
Nota: l’analisi è basata sulle informazioni disponibili al momento e può subire aggiornamenti in caso di nuove patch o modifiche legislative.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
