Security: ACS user access to all databases
- Vorherrschende Sprache
- Java
- Sterne
- 3.1k
- Forks
- 1.4k
- Ø Merge
- 6 T. 19 Std.
- Gemergte PRs (30 T.)
- 32
Beschreibung
##### ISSUE TYPE
* Bug Report
* Improvement Request
* Enhancement Request
##### COMPONENT NAME
~~~
Core, MySQL
~~~
##### CLOUDSTACK VERSION
~~~
4.19.0.0-snapshot.20231113
~~~
##### CONFIGURATION
##### OS / ENVIRONMENT
Ubuntu 22.04
##### SUMMARY
ACS requires access to all MySQL databases, which creates a huge security hole for a shared MySQL instance.
Trying to limit the scope of ACS access yields in the access denied error (see below).
##### STEPS TO REPRODUCE
~~~
> `sudo cloudstack-setup-databases cloud:cloud@mysql --deploy-as=root`
/usr/share/cloudstack-management/setup/create-database.sql
lines: 64-65
GRANT process ON *.* TO cloud@`localhost`;
GRANT process ON *.* TO cloud@`%`;
// This works with the full access
GRANT ALL ON *.* TO 'root'@'hyp0' WITH GRANT OPTION
// This yields in an error:
- GRANT ALL ON mysql.* TO 'root'@'hyp0' WITH GRANT OPTION
- GRANT ALL ON billing.* TO 'root'@'hyp0' WITH GRANT OPTION
- GRANT ALL ON cloud.* TO 'root'@'hyp0' WITH GRANT OPTION
- GRANT ALL ON cloud_usage.* TO 'root'@'hyp0' WITH GRANT OPTION
~~~
##### EXPECTED RESULTS
~~~
ACS configs own databases only without an error
~~~
##### ACTUAL RESULTS
~~~
ACS wants a full access and gives an error when a limited db access is provided
We apologize for below error:
table:
/usr/share/cloudstack-management/setup/create-database.sql
Error:
b"ERROR 1045 (28000) at line 64: Access denied for user 'root'@'hyp0' (using password: NO)\n"
~~~
Beitragsleitfaden
Rechercherichtung
Beginne mit /usr/share/cloudstack-management/setup/create-database.sql, insbesondere mit den Zeilen 64-65, und reproduziere den Setup-Befehl mit den dort gezeigten eingeschränkten MySQL-Berechtigungen. Verfolge, welche Datenbanken und Berechtigungen ACS benötigt; abgeschlossen ist die Aufgabe, wenn das CloudStack-Setup nur mit dem erforderlichen Datenbankumfang erfolgreich ist und kein Zugriff auf nicht zugehörige Datenbanken besteht.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Bewertung
- Tech-Stack
- mysql, sql
- Bereich
- databases, security
- Issue-Typ
- Bug
- Schwierigkeit
- 4/5
- Geschätzter Aufwand
- 3-5 Tage
- Aktivitätsstatus
- Veraltet
- Klarheit
- Größtenteils klar
- Anfängerfreundlichkeit
- 35/100